CVE-2026-55399
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
CVE-2026-55399 to podatność na wyczerpanie zasobów w Secure Access publisher przed wersją 14.55. Atakujący z ważnymi poświadczeniami do tunelu Secure Access mogą przeprowadzić nieutrwalony atak DoS na publisher.
Ocena ryzyka
Ryzyko polega na możliwości zakłócenia działania Secure Access publisher przez autoryzowanego użytkownika, co może prowadzić do tymczasowej niedostępności usługi dla innych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację Secure Access publisher do wersji 14.55 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Powiązane podatności
- CVE-2026-109694Krytyczne
Wtyczka Fluent CRM (do 3.2.5) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie WordPress.
- CVE-2026-108497Krytyczne
Wtyczka Amelia Booking (do 2.4.10) zawiera podatność wstrzyknięcia SQL (SQL Injection) wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku lub modyfikacji danych.
- CVE-2026-50619Krytyczne
W Qsirch wykryto podatność typu path traversal, która może pozwolić zdalnym atakującym na odczyt nieoczekiwanych plików lub danych systemowych. Podatność została naprawiona w wersji 7.0.3.0 i późniejszych.
- CVE-2026-50612Krytyczne
W QuMagie wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi (symlink following). Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do naruszenia bezpieczeństwa systemu. Podatność została naprawiona w wersji 2.9.2 i późniejszych.
- CVE-2026-47786Krytyczne
W HybridDesk Station wykryto podatność wstrzyknięcia poleceń systemu operacyjnego (OS command injection), która może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń. Podatność została naprawiona w wersjach 4.2.23 i 4.3.4 oraz późniejszych.
- CVE-2026-34006Krytyczne
W sMedio DTCP MOVE wykryto podatność braku uwierzytelniania dla krytycznej funkcji, która może pozwolić zdalnym atakującym na uzyskanie dostępu do systemu. Podatność została naprawiona w wersji 1.4.5 i późniejszych.
- CVE-2026-19863Krytyczne
W EthereumAuthenticator nieuwierzytelniony klient może uzyskać dostęp do chronionych zasobów, jeśli ścieżka żądania zawiera skonfigurowaną ścieżkę logowania. Jest to spowodowane użyciem niezakończonego dopasowania podciągu przy identyfikacji strony logowania, co może prowadzić do zastąpienia wymagań uwierzytelniania lub ról wartością ALLOWED.
- CVE-2026-16438Krytyczne
W produktach Mitsubishi Electric (GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64) w wersjach 10.97.3 i wcześniejszych występuje podatność nieprawidłowego przypisania uprawnień. Instalatory przyznają domyślne uprawnienia DCOM kontu administratora, co pozwala atakującemu na lokalne lub zdalne uruchamianie i obsługę obiektów DCOM, które powinny wymagać podniesienia uprawnień UAC.
- CVE-2026-16436Krytyczne
W produktach Mitsubishi Electric (GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz) występuje słaby mechanizm odzyskiwania hasła. Challenge response używany do odblokowania systemu jest wspólny dla wszystkich użytkowników i stały, co pozwala zdalnemu atakującemu na odblokowanie systemu po jego uzyskaniu.
- CVE-2026-102469Krytyczne
Klient Vert.x DB2 (vertx-db2-client) deserializuje dane kolumn typu UDT za pomocą wywołania ObjectInputStream.readObject() bez filtra klas. Złośliwy lub pośredniczący serwer DRDA może wysłać odpowiedź z kolumną oznaczoną jako UDT (FDOCA LID 0x50), co prowadzi do deserializacji danych kontrolowanych przez atakującego. Ponieważ TLS jest domyślnie wyłączony, atak man-in-the-middle jest wykonalny.
Oryginalny opis (angielski, źródło NVD)
CVE-2026-55399 is a resource exhaustion vulnerability in the Secure Access publisher prior to 14.55. Attackers with valid credentials to the Secure Access tunnel can create a non-persistent DoS against the publisher.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS