CVE-2026-61604
KrytyczneCVSS 9.3Streszczenie
W module x/bonds blockchainu ixo przed wersją 8.0.0 następowało przenoszenie środków z adresu rozwiązanego z metody weryfikacji DID bez sprawdzenia, czy adres ten należy do podpisującego transakcję. Atakujący mógł zarejestrować adresy ofiar jako metody weryfikacji na własnym DID i przenieść ich salda do kontrolowanego przez siebie bonda, a następnie wypłacić i przenieść środki poza łańcuch. Podatność została wykorzystana w mainnecie ixo (ixo-5) w dniu 2026-06-20 i naprawiona w wersji 8.0.0.
Ocena ryzyka
Każde konto posiadające saldo w tokenie obsługiwanym przez bond było narażone na kradzież środków bez potrzeby posiadania kluczy ofiary, podpisów czy kompromitacji systemu. Atak został już przeprowadzony na mainnecie, co oznacza realną utratę środków.
Rekomendacja
Wszyscy operatorzy węzłów i walidatorzy muszą natychmiast uaktualnić oprogramowanie do wersji 8.0.0 poprzez on-chain upgrade. Nie istnieje obejście na poziomie aplikacji — naprawa wymaga uruchomienia poprawionego binarium, a moduł bonds pozostaje wyłączony do czasu przyszłej wersji.
Powiązane podatności
- CVE-2026-95699Krytyczne
Przed 18.09.2026 polityka AWS aplikacji mobilnej iSteamX mogła przyznawać uwierzytelnionym użytkownikom dostęp do tematów MQTT z symbolami wieloznacznymi, co może ujawniać dane urządzeń innych użytkowników i pozwalać atakującemu na włączanie i wyłączanie urządzeń innych połączonych użytkowników. Groziło to ujawnieniem informacji z profilu użytkownika oraz potencjalnym poparzeniem z powodu niezamierzonego uruchomienia urządzenia.
- CVE-2026-93291Krytyczne
Omni C20 nie przeprowadza prawidłowej walidacji certyfikatów, co może pozwolić atakującemu na przeprowadzenie ataku typu man-in-the-middle, a w konsekwencji na wykonanie dowolnego kodu.
- CVE-2026-86860Krytyczne
ServiceNow naprawiło podatność polegającą na braku autoryzacji zidentyfikowaną w ServiceNow AI Platform. Podatność ta mogła w pewnych okolicznościach pozwolić nieuwierzytelnionemu użytkownikowi na wyodrębnienie danych instancji wykraczających poza zamierzone, co prowadzi do eskalacji uprawnień.
- CVE-2026-13249Krytyczne
W interfejsie zarządzania web drukarki Honeywell PD45 Industrial Printer w wersji F10.19.010040 występuje podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu poprzez przesłanie dowolnego pliku. Atakujący może przesłać pliki pod swoją kontrolą bez konieczności uwierzytelnienia.
- CVE-2026-13016Krytyczne
ServiceNow naprawiło podatność SQL injection zidentyfikowaną w ServiceNow AI Platform. Podatność ta mogła w pewnych okolicznościach pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie dowolnych instrukcji SQL względem bazy danych instancji oraz na dostęp do danych instancji lub ich modyfikację wykraczającą poza zamierzone.
- CVE-2026-61742Krytyczne
DBHub, serwer MCP dla baz danych, w wersjach przed 0.22.5 udostępnia nieuwierzytelniony endpoint HTTP MCP po uruchomieniu w trybie transportu HTTP. Mechanizm ochrony oparty na porównaniu nagłówków Origin i Host nie zapobiega atakowi DNS rebinding, co pozwala złośliwej stronie wywoływać narzędzia MCP z przeglądarki ofiary. W zależności od konfiguracji może to prowadzić do odczytu, wyliczenia, a potencjalnie zapisu zawartości bazy danych.
- CVE-2026-61741Krytyczne
Biblioteka http4s-scala-xml w wersjach przed 0.24.1 i 1.0.0-M39 używa parsera SAXParserFactory bez konfiguracji bezpieczeństwa do dekodowania ciał wiadomości XML. Przy domyślnych ustawieniach JDK parser rozwiązuje deklaracje DOCTYPE, encje zewnętrzne oraz zewnętrzne DTD. Aplikacje parsujące niezaufany XML są narażone na ataki XXE, SSRF oraz wyczerpanie zasobów.
- CVE-2026-61732Krytyczne
Decepticon, autonomiczny agent hakerski dla zespołów red team, w wersjach przed 1.1.17 osadza wyniki crawlowania stron w wiadomościach LLM bez neutralizacji literałów specjalnych tokenów ChatML. W modelu BYOK większość dostawców modeli nie filtruje tych literałów, więc atakujący może umieścić je na stronie docelowej, aby sfałszować turę operatora i obejść zabezpieczenia agenta. Prowadzi to do wykonania dowolnych poleceń w sandboxie Kali Linux.
- CVE-2026-79766Krytyczne
W Termix od wersji 2.4.1 do 2.5.1 uwierzytelniony administrator może zapisać kontrolowane przez atakującego wartości domeny i adresu e-mail przez PATCH /users/acme-ssl-settings, a następnie wywołać ich interpolację do polecenia powłoki certbot przez POST /users/acme-ssl-request. W pliku acme-ssl-routes.ts funkcja child_process.execSync wywołuje /bin/sh -c z tymi wartościami jedynie w cudzysłowach, co pozwala na wykonanie dowolnych poleceń systemowych jako proces backendu Termix. Podatność dotyczy trybów HTTP webroot i DNS Cloudflare challenge, a jej wykorzystanie ujawnia bazy danych Termix, sekrety procesu, przechowywane poświadczenia i dostęp sieciowy. Problem naprawiono w wersji 2.5.1.
- CVE-2026-93425Krytyczne
W Dokploy przed wersją 0.29.13 procedura tRPC patch.readRepoDirectories przekazuje kontrolowaną przez użytkownika wartość repoPath z pliku patch.ts do polecenia powłoki w patch-repo.ts bez bezpiecznego cytowania argumentów. Uwierzytelniony członek organizacji z uprawnieniem service:read może wstrzyknąć metaznaki powłoki do repoPath i wykonać dowolne polecenia przez child_process.exec jako root w kontenerze Dokploy. Ponieważ standardowe wdrożenie montuje /var/run/docker.sock, wykonanie poleceń jako root w kontenerze może posłużyć do kontroli Dockera i przejęcia hosta oraz zarządzanych aplikacji. Problem naprawiono w wersji 0.29.13.
Oryginalny opis (angielski, źródło NVD)
The ixo Blockchain is a Layer 1 blockchain that runs on both Testnet and Mainnet. Prior to version 8.0.0, the x/bonds module moved funds from an address that was resolved from a DID verification method, without verifying that the resolved address belonged to the transaction signer. Affected handlers included MsgMakeOutcomePayment, MsgBuy, MsgSell, MsgSwap, and MsgWithdrawShare, as well as the batch order processor. Because any account may list an arbitrary blockchainAccountID as a verification method on a DID it controls (without the consent of that address's owner), an attacker could register victims' addresses as verification methods on their own DID and then move the victims' balances into a bond the attacker controlled — later withdrawing and bridging the proceeds off-chain. This was exploited on ixo mainnet (ixo-5) on 2026-06-20. The attack required no victim keys, signatures, or system compromise — any account holding a balance in a token a bond could use was at risk. This was fixed in v8.0.0, delivered via the on-chain v8 software-upgrade. The x/bonds module is disabled: every bonds message is rejected on all routes (top-level, authz, CosmWasm, and ICA), and the bonds batch EndBlocker is a no-op so no further reserve movements can occur. All node operators and validators must upgrade to v8.0.0. The flaw is in chain state-machine logic and can only be remediated by running the patched binary. There is no application-level workaround. The vulnerability is in consensus logic; remediation requires the network to run the patched (v8.0.0) binary. The bonds module remains disabled in v8.0.0 and will only be re-enabled in a future release once the signer-authorization model has been corrected.