CVE-2026-78166
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W provectus kafka-ui do wersji 0.7.2 odkryto lukę w funkcji executeSmartFilterTest pliku kafka-ui-api/src/main/java/com/provectus/kafka/ui/controller/MessagesController.java komponentu Groovy Code Handler. Manipulacja prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć i wykonać dowolny kod w kontekście aplikacji, co może prowadzić do naruszenia poufności, integralności i dostępności danych. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie kafka-ui do wersji, która zawiera poprawkę, jeśli jest dostępna. Jeśli nie, należy ograniczyć dostęp do aplikacji i monitorować logi pod kątem podejrzanych działań.
Powiązane podatności
- CVE-2026-51720Krytyczne
Nieprawidłowa kontrola dostępu w funkcji delIpPortFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionemu atakującemu na usunięcie reguł filtrowania zapory poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-76133Krytyczne
Produkt Ebyte używa przestarzałego algorytmu haszującego w operacji związanej z uwierzytelnianiem. W warunkach, gdy atakujący może manipulować lub przewidzieć wymianę uwierzytelniającą, słaba konstrukcja może zmniejszyć pewność zapewnianą przez mechanizm uwierzytelniania i ułatwić nieautoryzowany dostęp.
- CVE-2026-73819Krytyczne
Narzędzie konfiguracyjne producenta Ebyte umożliwia dostęp do funkcji administracyjnych bez weryfikacji tożsamości operatora w określonych warunkach poświadczeń. Nieuwierzytelniony atakujący z sąsiedniej sieci może modyfikować krytyczne ustawienia lub zmieniać poświadczenia dostępu, potencjalnie uniemożliwiając legalnym administratorom zarządzanie urządzeniem.
- CVE-2026-82970Krytyczne
Wtyczka WP Cookie Notice dla GDPR, CCPA i ePrivacy Consent (część WP Legal Pages) zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na użycie złośliwych plików. Problem dotyczy wersji od n/a do 4.4.1.
- CVE-2026-59111Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w aplikacji eObčanka-Identifikacja (DIA) na systemie MacOS umożliwia atakującemu zarejestrowanie niestandardowego schematu URL (czeeopauth://) do parametryzowanego wykonania aplikacji. Przed wersją 3.6.0 parametry przychodzące z URL były przekazywane do skompilowanego wrappera AppleScript za pomocą konkatenacji bez wystarczającej sanityzacji.
- CVE-2026-51681Krytyczne
Nieprawidłowa kontrola dostępu w funkcji setRemoteCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym ujawnienie administracji od strony WAN poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51680Krytyczne
Nieprawidłowa kontrola dostępu w funkcji setLedCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym modyfikację zachowania diod LED poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51679Krytyczne
Nieprawidłowa kontrola dostępu w funkcji setPasswordCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym zmianę konta administratora poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-82695Krytyczne
W routerze Tenda AC18 (wersja 15.03.05.19) odkryto lukę w nieznanej funkcji pliku /goform/telnet w komponencie Telnet Handler. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-82694Krytyczne
W routerze Tenda AC1206 (wersja 15.03.06.23) zidentyfikowano podatność w funkcji R7WebsSecurityHandler pliku /goform/ate w komponencie Web UI. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in provectus kafka-ui up to 0.7.2. The affected element is the function executeSmartFilterTest of the file kafka-ui-api/src/main/java/com/provectus/kafka/ui/controller/MessagesController.java of the component Groovy Code Handler. The manipulation results in code injection. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.