CVE-2026-63403
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Faktory przed wersją 1.10.0 jest podatny na nieuwierzytelniony atak DoS, w którym pojedyncza źle sformułowana komenda powoduje awarię całego procesu. Protokół komunikacyjny oparty jest na liniach, a kilka handlerów komend wycina fragmenty linii bez sprawdzania, czy payload istnieje, co prowadzi do paniki w Go i zakończenia procesu. Atak wymaga jedynie połączenia z portem komend i wykonania prostego handshake, bez żadnych poświadczeń, gdy hasło nie jest skonfigurowane.
Ocena ryzyka
Atakujący może wielokrotnie wysyłać złośliwe komendy, powodując ciągłe przerwy w działaniu serwera, co uniemożliwia przetwarzanie zadań i odłącza wszystkich klientów oraz workerów.
Rekomendacja
Zaktualizuj serwer Faktory do wersji 1.10.0 lub nowszej, która zawiera poprawkę eliminującą podatność na panikę.
Powiązane podatności
- CVE-2026-82539Krytyczne
W TOTOLINK A720R w wersji 4.1.5cu.630_B20250509 wykryto podatność w funkcji setMacFilterRules pliku cstecgi.cgi komponentu MAC Filtering. Manipulacja argumentem desc może prowadzić do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15980Krytyczne
Wtyczka MyHome Core dla WordPressa do wersji 4.4.5 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku autoryzacji w handlerze AJAX send_link() oraz nieprawidłowej walidacji tokenów w funkcji activate(). Pozwala to nieuwierzytelnionemu atakującemu wygenerować token aktywacyjny dla niepotwierdzonego konta użytkownika i uzyskać ważny cookie uwierzytelniające dla tego konta, w tym dla administratorów.
- CVE-2026-15369Krytyczne
Wtyczka Custom User Registration Fields for WooCommerce do WordPressa w wersjach do 2.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z akceptowania przez wtyczkę wartości afreg_select_user_role kontrolowanej przez atakującego z nieuwierzytelnionego żądania WooCommerce Store API /wc/store/v1/checkout, zapisywania jej w metadanych zamówienia i przekazywania bezpośrednio do WP_User::add_role() bez walidacji względem listy dozwolonych ról skonfigurowanej przez administratora. Umożliwia to nieuwierzytelnionym atakującym podniesienie uprawnień do administratora poprzez utworzenie konta podczas realizacji zamówienia ze zmodyfikowanym ciałem JSON określającym rolę administratora.
- CVE-2026-82460Krytyczne
Cloud Commander przed wersją 19.20.2 zawiera podatność na przechodzenie po katalogach w operacjach plikowych REST i endpointach markdown, która nieprawidłowo waliduje normalizację ścieżek. Atakujący mogą użyć sekwencji przechodzenia po katalogach do odczytu, zapisu, przenoszenia lub kopiowania plików poza skonfigurowanym katalogiem głównym.
- CVE-2026-82456Krytyczne
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
- CVE-2026-82454Krytyczne
API Omnivore (packages/api) przed poprawką w commicie abf53d6 zawiera ominięcie uwierzytelniania w weryfikacji tokenów logowania przez Apple. Funkcja decodeAppleToken pobierała pole 'alg' z nagłówka JWT dostarczonego przez atakującego i przekazywała je jako jedyny dozwolony algorytm do jwt.verify(). Używając jsonwebtoken v8 (który nie weryfikuje zgodności klucza/algorytmu), atakujący może ustawić alg=HS256 i podpisać sfałszowany token, używając publicznego klucza RSA Apple jako sekretu HMAC, omijając weryfikację podpisu i podszywając się pod dowolne konto powiązane z Apple.
- CVE-2026-82452Krytyczne
rust-iot-platform do commita 5df942ab zawiera podatność na ominięcie uwierzytelniania, gdzie większość tras API REST nie ma zabezpieczeń uwierzytelniających w sygnaturach handlerów. Nieuwierzytelnieni atakujący mogą tworzyć, aktualizować, listować, pobierać i usuwać konta użytkowników, bezpośrednio uzyskując dostęp do niezabezpieczonych endpointów bez podawania prawidłowych poświadczeń.
- CVE-2026-82448Krytyczne
Shinobi przed commitem 5a76c74f zawiera zakodowany na stałe klucz połączenia w usłudze węzła podrzędnego, który pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych zapytań do bazy danych. Atakujący, którzy dotrą do portu węzła podrzędnego, mogą przedstawić zakodowany klucz podczas uzgadniania WebSocket, a następnie wysyłać zapytania SQL przez handler onWebSocketDataFromChildNode, aby odczytywać i modyfikować rekordy użytkowników oraz konfigurację kamer.
- CVE-2026-14494Krytyczne
Wtyczka Sigma Forms Pro dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 1.4.5 włącznie, poprzez funkcję handle_form_submission. Wynika to z dynamicznego przyznawania wszystkim użytkownikom uprawnienia unfiltered_upload podczas przesyłania formularzy oraz pomijania walidacji typu MIME, gdy allowed_file_types nie jest skonfigurowane. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze. Kilka domyślnych szablonów, w tym Job Application, Support Ticket i Wholesale Application, ma pola przesyłania plików bez ograniczeń typów plików, co czyni tę podatność natychmiast wykorzystywalną po instalacji.
- CVE-2026-77012Krytyczne
Wtyczka WordPress 爱采集数据采集和发布插件 do wersji 1.0.0 nie wymaga tajnego klucza dla jednego z nieuwierzytelnionych punktów końcowych, opierając się na zakodowanym na stałe domyślnym kluczu, oraz nie weryfikuje adresów URL ani ścieżek docelowych. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików z serwera, wymuszenie wysyłania dowolnych żądań i pobieranie odpowiedzi oraz zapisywanie treści poza katalogiem uploads.
Oryginalny opis (angielski, źródło NVD)
Faktory is a language-agnostic background job server. In versions prior to 1.10.0, the server is vulnerable to an unauthenticated denial of service in which a single malformed command crashes the entire process. Its wire protocol is line-based, and several command handlers slice or index the received line at a fixed offset, such as cmd[5:] for PUSH or qs[0] for QUEUE, without checking that a payload is present. Sending a bare verb with no payload, for example PUSH, ACK, FAIL, BEAT, PUSHB, or QUEUE, triggers a Go slice or index out-of-range panic. Because the codebase has no recover() anywhere in the command-dispatch path, an unrecovered panic in a handler goroutine terminates the whole Go process rather than just that connection, instantly disconnecting every other client, worker, and in-flight job. The attack requires only a connection to the command port and completion of the trivial handshake, with no credentials when no password is configured, and can be repeated to keep the service down indefinitely. This issue is fixed in version 1.10.0.