CVE-2026-77140
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Rozszerzenie weryfikuje HMAC linku edycji pracownika na froncie tylko w akcji renderującej formularz edycji, a nie w akcji zapisującej zmianę. Nieuwierzytelniony odwiedzający, znający UID widocznego rekordu pracownika, może wysłać bezpośrednie żądanie POST do akcji aktualizacji i nadpisać ten rekord bez ważnego linku edycji lub jakiegokolwiek sprawdzenia własności.
Ocena ryzyka
Atakujący może modyfikować dane pracowników bez autoryzacji, co może prowadzić do naruszenia integralności danych i potencjalnego wycieku informacji.
Rekomendacja
Przenieść weryfikację HMAC do akcji zapisu, aby upewnić się, że każda aktualizacja rekordu pracownika wymaga ważnego linku edycji.
Powiązane podatności
- CVE-2026-82616Krytyczne
W routerze TOTOLINK NR1800X w wersji 9.1.0u.6681_B20230703 znaleziono podatność w funkcji setUploadSetting pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem FileName powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-77956Krytyczne
W bibliotece ash_ai projektu ash-project wykryto podatność polegającą na niekontrolowanym generowaniu kodu (Code Injection). Zdalny, nieuwierzytelniony klient może wykonać dowolny kod Elixir, ponieważ funkcja AshAi.Actions.Prompt ocenia treść promptu przez EEx.eval_string/2. Treść promptu może zawierać dane od atakującego, które są kompilowane i wykonywane jako szablon EEx, np. <%= System.cmd(...) %>. Podatność dotyczy wersji od 0.1.0 przed 1.0.0.
- CVE-2026-82593Krytyczne
W routerze D-Link DIR-825M w wersji 1.1.8 znaleziono podatność w funkcji sub_41802C pliku /boafrm/formLtefotaUpgradeFibocom, dotyczącą aktualizacji oprogramowania modułu LTE. Manipulacja argumentem fota_url powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-82592Krytyczne
Wykryto podatność w routerze D-Link DIR-825M w wersji 1.1.8. Dotyczy ona funkcji sub_46725C w pliku /boafrm/formDiskFormat w komponencie Disk Formatting Handler Endpoint. Manipulacja argumentem partition prowadzi do przepełnienia bufora na stosie. Atak może być wykonany zdalnie, a exploit jest publiczny.
- CVE-2026-82542Krytyczne
Podatność w Tenda HG10 300001138 dotyczy funkcji formIPv6Routing w pliku /boaform/admin/formIPv6Routing w komponencie Boa Web Server. Manipulacja argumentem destNet powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82539Krytyczne
W TOTOLINK A720R w wersji 4.1.5cu.630_B20250509 wykryto podatność w funkcji setMacFilterRules pliku cstecgi.cgi komponentu MAC Filtering. Manipulacja argumentem desc może prowadzić do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15980Krytyczne
Wtyczka MyHome Core dla WordPressa do wersji 4.4.5 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku autoryzacji w handlerze AJAX send_link() oraz nieprawidłowej walidacji tokenów w funkcji activate(). Pozwala to nieuwierzytelnionemu atakującemu wygenerować token aktywacyjny dla niepotwierdzonego konta użytkownika i uzyskać ważny cookie uwierzytelniające dla tego konta, w tym dla administratorów.
- CVE-2026-15369Krytyczne
Wtyczka Custom User Registration Fields for WooCommerce do WordPressa w wersjach do 2.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z akceptowania przez wtyczkę wartości afreg_select_user_role kontrolowanej przez atakującego z nieuwierzytelnionego żądania WooCommerce Store API /wc/store/v1/checkout, zapisywania jej w metadanych zamówienia i przekazywania bezpośrednio do WP_User::add_role() bez walidacji względem listy dozwolonych ról skonfigurowanej przez administratora. Umożliwia to nieuwierzytelnionym atakującym podniesienie uprawnień do administratora poprzez utworzenie konta podczas realizacji zamówienia ze zmodyfikowanym ciałem JSON określającym rolę administratora.
- CVE-2026-82460Krytyczne
Cloud Commander przed wersją 19.20.2 zawiera podatność na przechodzenie po katalogach w operacjach plikowych REST i endpointach markdown, która nieprawidłowo waliduje normalizację ścieżek. Atakujący mogą użyć sekwencji przechodzenia po katalogach do odczytu, zapisu, przenoszenia lub kopiowania plików poza skonfigurowanym katalogiem głównym.
- CVE-2026-82456Krytyczne
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
Oryginalny opis (angielski, źródło NVD)
The extension validates the HMAC of a frontend employee edit link only in the action that renders the edit form, not in the action that persists the change. An unauthenticated visitor who knows the UID of a visible employee record can send a direct POST request to the update action and overwrite that record without a valid edit link or any ownership check.