CVE-2026-64678

W AstroBlocks (CMS dla projektów Astro) przed wersją 3.4.0 tokeny sesji administratora mogą być fałszowane z powodu zaszytego awaryjnego sekretu JWT oraz niezgodnej nazwy zmiennej środowiskowej. Osoba znająca publiczną wartość awaryjną (czytelną w opublikowanym pakiecie) może sfałszować ważny token sesji z rolą "owner" i uzyskać pełną kontrolę administracyjną nad CMS.

W Waline w wersjach 3.15.2 i wcześniejszych klient @waline/client renderuje podgląd edytora komentarzy za pomocą marked bez sanityzacji i wstrzykuje go przez v-html. Podczas edycji komentarza edytor jest wypełniany surową, niesanityzowaną treścią, więc administrator klikający Edytuj na komentarzu atakującego renderuje surowy HTML w swojej sesji, co prowadzi do przechowywanego XSS i eskalacji uprawnień.

WWBN AVideo w wersjach 6.5 do 29.7.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik poprzez nazwy wyświetlane w logowaniu społecznościowym Hybridauth. Atakujący może ustawić nazwę wyświetlaną w X, Facebook, Yahoo lub LinkedIn na nazwę użytkownika ofiary i pominąć e-mail, co powoduje zalogowanie jako to konto, w tym administratora, bez hasła.

Podatność nieprawidłowej autoryzacji w Fortinet FortiManager w wersjach 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.5 oraz 7.2.0–7.2.8 może pozwolić nieuwierzytelnionemu atakującemu z dostępem do portu FGFM na wykonanie kodu lub poleceń za pomocą spreparowanych pakietów FGFM.

Pakiety react-server-dom-webpack, react-server-dom-parcel i react-server-dom-turbopack w wersjach od 19.0.0 do 19.0.9, 19.1.10, 19.2.9 i 19.3.1 są podatne na nieuwierzytelnione zdalne wykonanie kodu poprzez spreparowane dane wejściowe wymierzone w frameworki obsługujące React Server Components. Podatność dotyczy wyłącznie rzadkich przypadków, gdy odpowiedzi transportują wiele tablic typowanych wraz z wartością kontrolowaną przez atakującego; aplikacje bez kodu serwerowego lub bez frameworku/bundlera obsługującego React Server Components nie są zagrożone.

Wtyczka Basel Post Types dla WordPressa (wersje do 1.18 włącznie) zawiera błąd w kodzie uwierzytelniania, który powoduje stałe użycie zaszytego w kodzie źródłowym motywu klucza SECURE_AUTH_SALT. Ponieważ klucz jest publicznie znany, nieuwierzytelniony atakujący może offline sfałszować podpis Opauth i wysłać spreparowane żądanie callback, logując się jako dowolny istniejący użytkownik, w tym administrator. Wymaga to aktywnego WooCommerce oraz skonfigurowanego dostawcy logowania społecznościowego (Facebook, Google lub VKontakte).

W serwerze HTTP Zephyr, w obsłudze HTTP/2, funkcja handle_http2_static_fs_resource() przekazywała &client->data_len jako parametr wyjściowy rozmiaru pliku, nadpisując licznik nieprzetworzonych bajtów w buforze odbiorczym. Serwowanie dowolnego pliku statycznego przez nieuwierzytelniony GET HTTP/2 powodowało, że client->data_len przyjmował rozmiar pliku, co prowadziło do odczytu i zapisu poza granicami bufora oraz korupcji pamięci. Luka dotyczy aplikacji rejestrujących zasób statycznego systemu plików (HTTP_RESOURCE_TYPE_STATIC_FS) z CONFIG_FILE_SYSTEM=y.

N-able N-central przed wersją 26.4.1 jest podatny na niewłaściwe ograniczenie odwołań do zewnętrznych encji XML, co umożliwia zatruwanie schematu XML (XML Schema Poisoning). Podatność dotyczy wersji starszych niż 26.4.1.

N-able N-central przed wersją 26.4.1 zawiera podatność typu Server-Side Request Forgery (SSRF), umożliwiającą atakującemu wymuszenie żądań po stronie serwera. Podatność dotyczy wersji starszych niż 26.4.1.

AsiaInfo Business Support System (BSS) w wersjach 9.2.0 do 9.2.40 nieprawidłowo weryfikuje podpisy kryptograficzne tokenów JWT. Zdalny, nieuwierzytelniony atakujący może sfałszować poprawnie sformatowany token JWT bez ważnego podpisu i użyć go do wykonania uprzywilejowanych akcji. Poprawiono w wersji 9.2.41.