CVE-2026-63397
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
remorses/genql przed wersją 6.3.4 pozwala uwierzytelnionemu atakującemu, który kontroluje schemat GraphQL przekazany do genql, na wstrzyknięcie dowolnego kodu JavaScript lub TypeScript. Złośliwy kod jest wstrzykiwany do wygenerowanego pliku schema.ts i wykonuje się, gdy klient genql jest bundlowany i importowany.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod do generowanego pliku, co może prowadzić do przejęcia kontroli nad aplikacją kliencką i kradzieży danych.
Rekomendacja
Należy zaktualizować genql do wersji 6.3.4 lub nowszej, która zawiera poprawkę uniemożliwiającą wstrzykiwanie kodu.
Powiązane podatności
- CVE-2026-109694Krytyczne
Wtyczka Fluent CRM (do 3.2.5) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie WordPress.
- CVE-2026-108497Krytyczne
Wtyczka Amelia Booking (do 2.4.10) zawiera podatność wstrzyknięcia SQL (SQL Injection) wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku lub modyfikacji danych.
- CVE-2026-50619Krytyczne
W Qsirch wykryto podatność typu path traversal, która może pozwolić zdalnym atakującym na odczyt nieoczekiwanych plików lub danych systemowych. Podatność została naprawiona w wersji 7.0.3.0 i późniejszych.
- CVE-2026-50612Krytyczne
W QuMagie wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi (symlink following). Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do naruszenia bezpieczeństwa systemu. Podatność została naprawiona w wersji 2.9.2 i późniejszych.
- CVE-2026-47786Krytyczne
W HybridDesk Station wykryto podatność wstrzyknięcia poleceń systemu operacyjnego (OS command injection), która może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń. Podatność została naprawiona w wersjach 4.2.23 i 4.3.4 oraz późniejszych.
- CVE-2026-34006Krytyczne
W sMedio DTCP MOVE wykryto podatność braku uwierzytelniania dla krytycznej funkcji, która może pozwolić zdalnym atakującym na uzyskanie dostępu do systemu. Podatność została naprawiona w wersji 1.4.5 i późniejszych.
- CVE-2026-19863Krytyczne
W EthereumAuthenticator nieuwierzytelniony klient może uzyskać dostęp do chronionych zasobów, jeśli ścieżka żądania zawiera skonfigurowaną ścieżkę logowania. Jest to spowodowane użyciem niezakończonego dopasowania podciągu przy identyfikacji strony logowania, co może prowadzić do zastąpienia wymagań uwierzytelniania lub ról wartością ALLOWED.
- CVE-2026-16438Krytyczne
W produktach Mitsubishi Electric (GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64) w wersjach 10.97.3 i wcześniejszych występuje podatność nieprawidłowego przypisania uprawnień. Instalatory przyznają domyślne uprawnienia DCOM kontu administratora, co pozwala atakującemu na lokalne lub zdalne uruchamianie i obsługę obiektów DCOM, które powinny wymagać podniesienia uprawnień UAC.
- CVE-2026-16436Krytyczne
W produktach Mitsubishi Electric (GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz) występuje słaby mechanizm odzyskiwania hasła. Challenge response używany do odblokowania systemu jest wspólny dla wszystkich użytkowników i stały, co pozwala zdalnemu atakującemu na odblokowanie systemu po jego uzyskaniu.
- CVE-2026-102469Krytyczne
Klient Vert.x DB2 (vertx-db2-client) deserializuje dane kolumn typu UDT za pomocą wywołania ObjectInputStream.readObject() bez filtra klas. Złośliwy lub pośredniczący serwer DRDA może wysłać odpowiedź z kolumną oznaczoną jako UDT (FDOCA LID 0x50), co prowadzi do deserializacji danych kontrolowanych przez atakującego. Ponieważ TLS jest domyślnie wyłączony, atak man-in-the-middle jest wykonalny.
Oryginalny opis (angielski, źródło NVD)
remorses/genql before version 6.3.4 allows an authenticated attacker with control of the GraphQL schema that is passed to genql to inject arbitrary JavaScript or TypeScript. The malicious code is injected into the generated schema.ts file and executes when the genql client is bundled and imported.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS