CVE-2026-76833
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Pakiet npm @cgauge/yaml zawiera podatność na wykonanie dowolnego kodu, umożliwiającą atakującym wykonanie dowolnego JavaScriptu poprzez osadzenie niestandardowego tagu YAML !js, którego funkcja konstruktora bezwarunkowo wywołuje eval() na dostarczonych przez atakującego wartościach ciągów podczas parsowania dokumentu. Każda aplikacja parsująca niezaufane dane YAML za pomocą tej biblioteki naraża pełne uprawnienia środowiska Node.js, w tym dostęp do zmiennych środowiskowych, odczyt/zapis systemu plików, dostęp do sieci i wykonywanie podprocesów, bez alternatywy trybu bezpiecznego ani mechanizmu rezygnacji.
Ocena ryzyka
Organizacja używająca tej biblioteki do przetwarzania niezaufanego YAML naraża się na pełne przejęcie kontroli nad procesem Node.js, co może prowadzić do kradzieży danych, modyfikacji systemu i dalszych ataków w sieci wewnętrznej.
Rekomendacja
Zaleca się natychmiastowe zaprzestanie używania pakietu @cgauge/yaml do przetwarzania niezaufanych danych lub zastosowanie bezpiecznej alternatywy, jeśli dostępna. Należy również przeanalizować, czy biblioteka nie była używana w środowisku produkcyjnym i podjąć odpowiednie działania naprawcze.
Powiązane podatności
- CVE-2026-120344Krytyczne
W urządzeniu WAVLINK WN551X3-A wykryto podatność w funkcji system pliku /bin/ioos, w komponencie obsługi grup WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-120322Krytyczne
W Termix-SSH Termix do wersji 2.9.2 wykryto podatność w pliku /plugin-api/file-manager/transferToHost. Manipulacja argumentem destPath prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.
- CVE-2026-120283Krytyczne
W urządzeniu Linksys E8450 (wersja 1.2.00.360516) wykryto podatność w funkcji strcpy w pliku /www/cgi-bin/portal.cgi. Manipulacja argumentem hidden_timezone prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-120282Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) wykryto podatność w funkcji host_black w pliku /protocol.csp. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
- CVE-2026-120281Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie OpenVPN Handler wykryto podatność w funkcji strcpy w pliku /protocol.csp. Manipulacja argumentem openvpn_ip powoduje przepełnienie bufora na stosie. Exploit został upubliczniony i atak można przeprowadzić zdalnie.
- CVE-2026-120280Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie WireGuard wykryto podatność w funkcji wireguard_cli_group w pliku /protocol.csp. Manipulacja argumentami group_id/group_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został ujawniony publicznie i atak można zainicjować zdalnie.
- CVE-2026-120279Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie openvpn_cli Handler wykryto podatność w nieznanej funkcji pliku /protocol.csp. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został opublikowany i atak można przeprowadzić zdalnie.
- CVE-2026-120277Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcji sub_41a1d8 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120276Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) zidentyfikowano słabość w funkcji sub_416760 pliku /bin/ioos, w komponencie interfejsu zarządzania webowego. Manipulacja argumentem group_name powoduje wstrzyknięcie poleceń systemowych (OS command injection). Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-120240Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_41A748 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
@cgauge/yaml npm package contains an arbitrary code execution vulnerability that allows attackers to execute arbitrary JavaScript by embedding a custom !js YAML tag whose construct callback unconditionally calls eval() on attacker-supplied string values during document parsing. Any application parsing untrusted YAML input with this library exposes full Node.js runtime authority, including environment variable access, filesystem read/write, network access, and subprocess execution, with no safe-mode alternative or opt-out mechanism available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS