CVE-2026-66296
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność XSS (reflected) w bibliotece oaskit dla języka Elixir. Błąd polega na braku kodowania HTML w domyślnym handlerze błędów, który renderuje komunikaty o nieprawidłowych danych wejściowych. Atakujący może wykorzystać specjalnie spreparowany link, aby wykonać dowolny skrypt JavaScript w przeglądarce ofiary w kontekście aplikacji.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść ciasteczka lub dane dostępne w obrębie tej samej domeny. Wystarczy, że ofiara kliknie w spreparowany link — nie wymaga to żadnych dodatkowych interakcji.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę oaskit do wersji 0.14.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy wyłączyć domyślny handler błędów HTML (ustawić :html_errors na false) lub zastosować własny, bezpieczny handler.
Powiązane podatności
- CVE-2026-115252Krytyczne
Wtyczka WordPress Confection Cable w wersjach 0.4.0–0.4.7 nie sprawdza uprawnień ani tokenów nonce przed zapisaniem ustawień, a jedną z wartości zapisuje bez modyfikacji do samodzielnego pliku PHP, który następnie udostępnia. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP na serwerze.
- CVE-2026-124585Krytyczne
W urządzeniach VW2100 i VEC10GP firmy Chengdu Feiyuxing Technology wykryto podatność w interfejsie administracji webowej. Funkcja add_expmac w pliku var/html/webserver nieprawidłowo obsługuje argument mac, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123870Krytyczne
Aplikacja webowa otterdog ocenia format-string zbudowany z treści webhooka GitHub przy użyciu funkcji eval() w Pythonie. Gdy konfiguracja GITHUB_WEBHOOK_SECRET jest nieustawiona lub pusta (domyślnie None), weryfikacja podpisu HMAC jest całkowicie pomijana. Umożliwia to nieuwierzytelnionemu klientowi sieciowemu dotarcie do eval() z danymi kontrolowanymi przez atakującego i wykonanie dowolnego kodu Pythona na hoście.
- CVE-2026-124580Krytyczne
W urządzeniu Chengdu Feiyuxing Technology VW2100 i VEC10GP (wersja 1.0 B-MB3W202-210825-r11775) wykryto podatność w funkcji handle_wechat_cn_wifi w pliku var/html/webserver, w komponencie Weixin Auth Endpoint. Manipulacja argumentem extend prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-124577Krytyczne
W urządzeniu Intelbras SG 2404 PoE L2+ w wersjach 1.00.70 i 1.00.72 wykryto słabość w nieznanej funkcji pliku /EXCU_SHELL w komponencie Web Management Interface. Manipulacja może prowadzić do nieprawidłowego uwierzytelniania. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-113364Krytyczne
Przepełnienie bufora w procesie odbierania danych w NEC WebSAM WinShare w wersjach 7.5.0 i wcześniejszych, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez spreparowany pakiet z nieprawidłową wartością rozmiaru danych w nagłówku protokołu.
- CVE-2026-113363Krytyczne
Nieprawidłowa walidacja danych wejściowych w przetwarzaniu komunikacji sieciowej w NEC WebSAM WinShare w wersjach 7.2.0–7.5.0, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń z uprawnieniami SYSTEM poprzez spreparowany pakiet sieciowy wysłany do komputera z uruchomionym WinShare.
- CVE-2026-124560Krytyczne
W urządzeniu D-Link DIR-878 w wersji 1.20B05 wykryto podatność w funkcji GetCAPTCHAsetting w pliku bin/prog.cgi (komponent HNAP Handler). Manipulacja argumentem uid prowadzi do przepełnienia bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-119506Krytyczne
Wtyczka Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.30.1 zawiera błąd nieprawidłowego przypisania uprawnień. Luka umożliwia atakującemu eskalację uprawnień w obrębie witryny WordPress.
- CVE-2026-6715Krytyczne
IBM Concert w wersjach 1.0 do 3.0.1.1 pozwala atakującemu dostarczyć spreparowane dane wejściowe, które trafiają do polecenia systemu operacyjnego bez odpowiedniej walidacji lub sanityzacji. Skuteczne wykorzystanie umożliwia zdalnym atakującym wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami usługi.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation (XSS) vulnerability in lud oaskit allows reflected cross-site scripting via the default HTML error handler. Oaskit.ErrorHandler.Default.format_reason/4 and Oaskit.ErrorHandler.Default.reason_to_html/1 in lib/oaskit/error_handler/default.ex render request-validation failures as an HTML page whenever the request's Accept header contains html, interpolating request-controlled strings into that page without HTML escaping. The unescaped values are object keys taken from a request body or from an object or deepObject query parameter, which appear in the JSON Schema error's instance path when a schema rejects them (for example under additionalProperties: false), and the raw Content-Type header, reflected in unsupported-media-type errors when it fails to parse. Because browsers send Accept: text/html on ordinary top-level navigation, a crafted GET link is sufficient to trigger the error page; no form submission, custom Content-Type, or attacker-controlled script on the victim's side is required. A payload such as filter[</code></h2><script>alert(document.domain)</script>]=x terminates the enclosing markup and the injected script executes in the origin of the application using oaskit, giving it access to that origin's cookies, session, and same-origin responses. Both HTML error rendering and the vulnerable handler are enabled by default: Oaskit.Plugs.ValidateRequest defaults :html_errors to true and :error_handler to Oaskit.ErrorHandler.Default, so applications following the documented usage are affected without any opt-in. This issue affects oaskit: from 0.1.0 before 0.14.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS