CVE-2026-61542
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Gearsystem w trybie --mcp-http przyjmuje nieuwierzytelnione żądania MCP od dowolnego osiągalnego peera sieciowego, mimo dokumentacji ograniczającej do localhost. Gniazdo nasłuchuje na INADDR_ANY (zwykle port 7777), a żądania POST /mcp trafiają do obsługi bez sprawdzania Authorization, Host ani Origin.
Ocena ryzyka
Peer sieciowy może zainicjować sesję MCP i wywoływać operacje emulatora/debuggera oraz odczytywać lokalne pliki, co narusza poufność i integralność stanu debugowania.
Rekomendacja
Zaktualizować Gearboy do wersji 3.8.7 lub nowszej oraz ograniczyć dostęp sieciowy do trybu MCP (bind na localhost, kontrola Origin i autoryzacji).
Powiązane podatności
- CVE-2026-118527ŚrednieAktywnie exploitowane
W Ivanti Connect Secure przed wersjami 25.1.1.3 i 22.8R2.6 występuje użycie przewidywalnych nazw plików. Uwierzytelniony zdalny atakujący może przesłać pliki o kontrolowanej przez siebie treści do znanej lokalizacji na dysku.
- CVE-2026-89292Krytyczne
W Eclipse Mnestix Browser w wersjach od 1.6.0 do 2.3.0 (wyłącznie) nieuwierzytelniony atakujący mógł wykraść klucz MNESTIX_BACKEND_API_KEY dla wszystkich skonfigurowanych infrastruktur.
- CVE-2026-4052Krytyczne
Podatność dotyczy wdrożeń WSO2 Identity Server skonfigurowanego jako Resident Key Manager z udostępnianiem bazy danych. W takim środowisku samodzielnie zarejestrowany użytkownik może uzyskać dostęp do System REST APIs WSO2 API Manager poprzez token z endpointu tokenów WSO2 Identity Server.
- CVE-2026-13594Krytyczne
Wersje 13062 i starsze produktów ManageEngine Log360 oraz EventLog Analyzer firmy Zoho Corporation są podatne na problem umożliwiający przeciwnikowi uzyskanie nieautoryzowanego dostępu do produktu.
- CVE-2026-120534Krytyczne
Wtyczka Advanced Custom Fields: Extended PRO dla WordPressa jest podatna na ograniczoną iniekcję kodu w wersjach do 0.9.2.6 włącznie, poprzez funkcję render_field. Brak wystarczającej walidacji parametrów konfiguracji formularza pozwala nieuwierzytelnionym atakującym na wywoływanie dowolnych funkcji WordPressa z kontrolowanymi argumentami.
- CVE-2026-120518Krytyczne
Wtyczka BuddyPress XProfile Image Field dla WordPressa jest podatna na dowolne usuwanie plików w wersjach do 3.1.0 włącznie. Funkcja bpxp_image_field_update_on_user_activation() wywołuje unlink() na ścieżce zbudowanej z metadanych rejestracji dostarczonych przez odwiedzającego, bez rozwiązywania realpath(), sprawdzenia zawierania w katalogu profilowym i listy dozwolonych rozszerzeń.
- CVE-2026-86596Krytyczne
Wtyczka s2Member dla WordPressa w wersjach do 260927 włącznie jest podatna na zdalne wykonanie kodu poprzez parametr 'item_name'. Niedostateczna sanityzacja w funkcji strip_php_tags_deep() usuwa jedynie literalne sekwencje '<?', a późniejsze czyszczenie placeholderów po interpolacji odtwarza poprawny otwieracz '<?php' już po osadzeniu wartości kontrolowanej przez atakującego w szablonie e-mail.
- CVE-2026-97718Krytyczne
W wersji 14.60 serwera Secure Access występuje podatność typu cross-site request forgery (CSRF). Z powodu obejścia mechanizmu kontroli bezpieczeństwa atakujący może zmusić administratora do utworzenia konta pod kontrolą atakującego.
- CVE-2026-116769Krytyczne
W serwerach Secure Access w wersjach od 13.0 do wersji przed 14.61 występuje podatność polegająca na obejściu uwierzytelniania. Atakujący mogą modyfikować ustawienia bezpieczeństwa klienta za pośrednictwem serwera.
- CVE-2026-102435Krytyczne
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji _getObjAttr we wszystkich wersjach do 3.5.54 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Wymaga to aktywnego dodatku PDF Generator i skonfigurowanego formularza Contact Form 7 do generowania PDF.
Oryginalny opis (angielski, źródło NVD)
Gearboy is a Game Boy, Game Boy Color, and Super Game Boy emulator and debugger with an embedded MCP server. Gearsystem, the affected component, has an optional `--mcp-http` mode that accepts unauthenticated MCP requests from any reachable network peer despite localhost-only documentation and logging. In the described `platforms/shared/desktop/mcp/mcp_transport.h` transport, the socket binds `INADDR_ANY`, normally on port 7777, and POST requests to `/mcp` reach dispatch without `Authorization`, `Host`, or `Origin` checks. Responses and OPTIONS advertise `Access-Control-Allow-Origin: *`. A peer can initialize an MCP session and invoke exposed emulator/debugging operations; even a garbage bearer token does not block dispatch, while a loopback-bind negative control prevents network access. The reported impact is bounded to the emulator process, debugging state, and local files accepted as media, rather than demonstrated host code execution. Gearboy 3.8.7 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS