CVE-2026-6556
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność w @fastify/express w wersjach 4.0.6 i wcześniejszych powoduje, że prefiksy pluginów nie są stosowane do ścieżek montowania middleware, gdy są one tablicami lub wyrażeniami regularnymi. W rezultacie middleware rejestrowane w ten sposób nie jest wykonywane dla żądań kierowanych do prefiksowanych tras, co umożliwia ominięcie mechanizmów bezpieczeństwa.
Ocena ryzyka
Organizacja naraża się na ryzyko ominięcia uwierzytelniania, autoryzacji, limitowania żądań lub audytu na trasach wewnątrz prefiksowanych zakresów pluginów, co może prowadzić do nieautoryzowanego dostępu do chronionych zasobów.
Rekomendacja
Należy natychmiast zaktualizować @fastify/express do wersji 4.0.7 lub nowszej. Jako tymczasowe obejście, w prefiksowanych pluginach należy używać wyłącznie stringów jako ścieżek montowania middleware, unikając tablic i wyrażeń regularnych.
Powiązane podatności
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-105135Krytyczne
W systemie InternLM MindSearch 0.1.0 wykryto podatność na iniekcję kodu w funkcji ExecutionAction.run w pliku mindsearch/agent/graph.py. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały publicznie ujawnione.
- CVE-2026-105134Krytyczne
W systemie AhsayCBS do wersji 10.3.2 wykryto podatność na iniekcję poleceń systemu operacyjnego w pliku /rps/api/json/UpdateReceivers.do. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji 10.3.4 rozwiązuje problem.
- CVE-2026-105105Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w brokerze telemetrii i komend ait-server w NASA-AMMOS AIT-Core do wersji 3.1.1. Nieuwierzytelniony zdalny atakujący z dostępem do magistrali ZeroMQ może wstrzykiwać dane komend statku kosmicznego, wyciągać ruch komend i telemetrii, wstrzykiwać sfałszowaną telemetrię lub zakłócać działanie magistrali. Domyślnie gniazda XSUB i XPUB są powiązane ze wszystkimi interfejsami sieciowymi bez uwierzytelniania.
- CVE-2026-71885Krytyczne
W Bouncy Castle dla Java przed wersją 1.86, implementacja Messaging Layer Security (MLS, RFC 9420) nie wiązała poświadczenia X.509 z kluczem podpisu (signature_key) w węźle liścia (LeafNode). LeafNode.verify() sprawdzał podpis liścia względem klucza podpisu zawartego w samym liściu, podczas gdy łańcuch certyfikatów X.509 w poświadczeniu był przechowywany, ale nigdy nie analizowany ani walidowany, więc klucz publiczny certyfikatu końcowego nie musiał odpowiadać signature_key, jak wymaga RFC 9420 sek. 5.3. Atakujący mógł przedstawić cudzy certyfikat jako swoje poświadczenie, podpisując liść i zawierający go KeyPackage niezwiązanym kluczem, i zostać zaakceptowanym pod tożsamością ofiary przez KeyPackage.verify() oraz ścieżkę walidacji liści grupy.
- CVE-2026-92084Krytyczne
Wtyczka Beaver Builder Page Builder dla WordPressa do wersji 2.11.0.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Wykorzystanie wymaga strony z modułem Sidebar zawierającym widget wyświetlający tekst kontrolowany przez atakującego, np. widget Recent Comments z zatwierdzonym komentarzem.
- CVE-2026-87115Krytyczne
Wtyczka VikAppointments Services Booking Calendar dla WordPressa do wersji 1.2.21 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji extract. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu (np. po usunięciu pliku wp-config.php). Wykorzystanie wymaga opublikowania przynajmniej jednego pola niestandardowego typu File na stronie potwierdzenia.
- CVE-2026-105080Krytyczne
W ConvertX przed wersją 0.19.0, plik converters/calibre.ts nie blokuje plików przepisów (recipe files) i przekazuje je do programu ebook-convert z Calibre. Umożliwia to wykonanie kodu zawartego w plikach .recipe lub .downloaded_recipe.
- CVE-2026-84411Krytyczne
Usługa zarządzania webowego w podatnych wersjach RouterOS zawiera błąd typu integer underflow w obsłudze treści żądań HTTP, osiągalny przed uwierzytelnieniem. Nieuwierzytelniony atakujący z dostępem sieciowym może wykorzystać pojedyncze spreparowane żądanie do zdalnego wykonania kodu jako root lub do wywołania odmowy usługi.
- CVE-2026-95102Krytyczne
Punkty końcowe WebSocket nie posiadają właściwych mechanizmów uwierzytelniania, co umożliwia atakującym podszywanie się pod stacje ładowania. Wykorzystując tę słabość, atakujący mogą uzyskać nieautoryzowany dostęp do danych wrażliwych lub wykonywać nieautoryzowane działania. Ponieważ uwierzytelnianie nie jest wymagane, może to prowadzić do eskalacji uprawnień i potencjalnej kompromitacji całego systemu.
Oryginalny opis (angielski, źródło NVD)
@fastify/express versions 4.0.6 and earlier only rewrite the plugin prefix for middleware mount paths when the path argument is a string. Non-string mount paths (arrays of paths and regular expressions) are left unprefixed inside prefixed plugin scopes, so middleware registered with those forms does not match the actual prefixed request path. Applications that use path-scoped middleware for authentication, authorization, rate limiting, or auditing on routes inside a prefixed scope can be bypassed by sending a request to the prefixed route, because Fastify still matches the route but the middleware is skipped. Patches: upgrade to @fastify/express 4.0.7. Workarounds: use string mount paths instead of arrays or regular expressions in prefixed plugins, or register one use call per path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS