CVE-2026-75514
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
BunkerWeb przed wersją 1.6.13 zawiera podatność w modułach blacklist, greylist i antibot, które ufają dopasowaniom sufiksu PTR w IGNORE_RDNS, GREYLIST_RDNS i ANTIBOT_IGNORE_RDNS bez użycia get_ips do potwierdzenia, że nazwa hosta rozwiązuje się na adres klienta. Nieuwierzytelniony zdalny atakujący kontrolujący rekord PTR może sfałszować zaufany sufiks, aby ominąć blokowanie oparte na rDNS, uzyskać traktowanie greylist lub pominąć wyzwanie antibot.
Ocena ryzyka
Atakujący może ominąć zabezpieczenia oparte na rDNS, co może prowadzić do nieautoryzowanego dostępu, ataków DDoS lub innych złośliwych działań, które powinny być zablokowane.
Rekomendacja
Zaktualizuj BunkerWeb do wersji 1.6.13 lub nowszej, która zawiera poprawkę.
Inne podatności w BunkerWeb
Zobacz wszystkie- CVE-2026-61718Średnie
W BunkerWeb w wersjach od 1.6.2 do 1.6.12 lista wykluczeń autoryzacji middleware BiscuitMiddleware zawierała prefiks /cache/, co umożliwiało kontom o niskich uprawnieniach (tylko do odczytu) trwałe usuwanie plików cache zadań, zawierających dane konfiguracyjne i listy blokad. Podatność została naprawiona w wersji 1.6.12.
- CVE-2026-54728Średnie
Podatność w BunkerWeb i BunkerWeb PRO przed wersjami 1.6.12 i 0.57 umożliwia niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi eskalację uprawnień poprzez nieprawidłową walidację nagłówka Host w interfejsie UI i API. Problem dotyczy zależnej od konfiguracji ścieżki przetwarzania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
BunkerWeb is an open-source, next-generation Web Application Firewall. Prior to 1.6.13, the blacklist, greylist, and antibot modules in src/common/core/blacklist/blacklist.lua, src/common/core/greylist/greylist.lua, and src/common/core/antibot/antibot.lua trust PTR suffix matches in IGNORE_RDNS, GREYLIST_RDNS, and ANTIBOT_IGNORE_RDNS without using get_ips to confirm that the hostname resolves to the client address. An unauthenticated remote attacker who controls a PTR record can spoof a trusted suffix to bypass rDNS-based blacklisting, gain greylist treatment, or skip an antibot challenge. This issue is fixed in version 1.6.13.