CVE-2026-54335
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W Feathersjs w wersji 5.0.44 i wcześniejszych, funkcja _.merge w @feathersjs/commons pozwala na zanieczyszczenie prototypu (prototype pollution) poprzez klucze __proto__, constructor lub prototype pochodzące z JSON.parse.
Ocena ryzyka
Atakujący może wstrzyknąć właściwości do prototypu Object.prototype, co może prowadzić do zdalnego wykonania kodu lub innych ataków w całej aplikacji Node.js.
Rekomendacja
Zaktualizuj @feathersjs/commons do wersji 5.0.45 lub nowszej.
Powiązane podatności
- CVE-2026-19572Krytyczne
W oprogramowaniu FlexNet Publisher lmadmin wykryto podatność w handlerze SOAP, gdzie twardo zakodowane obejście uwierzytelniania pozwala nieuwierzytelnionemu użytkownikowi uzyskać uprzywilejowaną sesję administratora bez podania prawidłowych poświadczeń.
- CVE-2026-16516Krytyczne
wolfSSH nie weryfikuje, czy identyfikator krzywej ECDSA w bloku klucza hosta KEXDH_REPLY odpowiada algorytmowi uzgodnionemu podczas wymiany kluczy. Aktywny atakujący typu man-in-the-middle może podstawić blok klucza hosta z inną krzywą ECDSA, co powoduje zaimportowanie klucza na niewłaściwej krzywej, a ponieważ atakujący kontroluje klucz prywatny dla podstawionej krzywej, weryfikacja podpisu przechodzi.
- CVE-2026-14911Krytyczne
Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.
- CVE-2026-19386Krytyczne
Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.
- CVE-2026-105324Krytyczne
Podatność polegająca na wstrzyknięciu nagłówków HTTP w start-page-loader.cgi systemu ADM pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików z systemu hosta. Wysyłając spreparowane żądanie HTTP ze wstrzykniętymi nagłówkami przez parametr state, atakujący może wykorzystać mechanizm X-Sendfile serwera WWW do pobrania wrażliwych plików bez uwierzytelnienia.
- CVE-2026-93674Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu systemu operacyjnego.
- CVE-2026-104334Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej kontroli generowania kodu.
- CVE-2026-106501Krytyczne
Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w narzędziu Scaffolder. Uwierzytelniony użytkownik Backstage, który może odczytać zadanie Scaffolder innego użytkownika, może otrzymać wewnętrzne dane wykonawcze.
- CVE-2026-105812Krytyczne
Niewłaściwa kontrola generowania kodu w funkcji importu agentów w Amazon Bedrock AgentCore Starter Toolkit przed wersją 0.3.14 może pozwolić uwierzytelnionemu aktorowi z tego samego konta na wykonanie dowolnego kodu, gdy użytkownik importuje i uruchamia lub wdraża Agenta Bedrock, poprzez spreparowane wartości konfiguracyjne osadzone w wygenerowanym kodzie Pythona bez bezpiecznego kodowania literałów.
- CVE-2026-79805Krytyczne
Uwierzytelniona podatność na przechodzenie po ścieżkach (path traversal) istnieje w ClearPass Policy Manager. Udane wykorzystanie może pozwolić atakującemu na odczyt i modyfikację niektórych plików w systemie operacyjnym.
Oryginalny opis (angielski, źródło NVD)
Feathersjs is a framework for creating web APIs and real-time applications with TypeScript or JavaScript. In 5.0.44 and earlier, the _.merge(target, source) utility exported by @feathersjs/commons recursively merges source into target by iterating Object.keys(source). When source was produced by JSON.parse and contains a __proto__, constructor, or prototype key, that key is returned as an own-enumerable property; the recursive merge then resolves target['__proto__'] to Object.prototype and writes attacker-supplied properties onto it, polluting the prototype for all plain objects in the process for the lifetime of the Node process. This issue is fixed in version 5.0.45.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS