CVE-2026-78177
ŚrednieCVSS 4.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W TanStack devtools-vite 0.7.0 znaleziono podatność w funkcji installPackage pliku packages/devtools-bundler-core/src/package-manager.ts komponentu Development Devtools Event Bus. Manipulacja argumentem packageName prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak wymaga dostępu lokalnego i jest trudny do przeprowadzenia, ale exploit został opublikowany.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnych poleceń systemowych przez lokalnego atakującego, co może prowadzić do przejęcia kontroli nad systemem lub eskalacji uprawnień. Brak reakcji projektu na zgłoszenie zwiększa ryzyko.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu lokalnego do systemu i monitorowanie aktywności. Należy śledzić aktualizacje projektu i zastosować poprawkę, gdy tylko będzie dostępna.
Powiązane podatności
- CVE-2026-51720Krytyczne
Nieprawidłowa kontrola dostępu w funkcji delIpPortFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionemu atakującemu na usunięcie reguł filtrowania zapory poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-76133Krytyczne
Produkt Ebyte używa przestarzałego algorytmu haszującego w operacji związanej z uwierzytelnianiem. W warunkach, gdy atakujący może manipulować lub przewidzieć wymianę uwierzytelniającą, słaba konstrukcja może zmniejszyć pewność zapewnianą przez mechanizm uwierzytelniania i ułatwić nieautoryzowany dostęp.
- CVE-2026-73819Krytyczne
Narzędzie konfiguracyjne producenta Ebyte umożliwia dostęp do funkcji administracyjnych bez weryfikacji tożsamości operatora w określonych warunkach poświadczeń. Nieuwierzytelniony atakujący z sąsiedniej sieci może modyfikować krytyczne ustawienia lub zmieniać poświadczenia dostępu, potencjalnie uniemożliwiając legalnym administratorom zarządzanie urządzeniem.
- CVE-2026-82970Krytyczne
Wtyczka WP Cookie Notice dla GDPR, CCPA i ePrivacy Consent (część WP Legal Pages) zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na użycie złośliwych plików. Problem dotyczy wersji od n/a do 4.4.1.
- CVE-2026-59111Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w aplikacji eObčanka-Identifikacja (DIA) na systemie MacOS umożliwia atakującemu zarejestrowanie niestandardowego schematu URL (czeeopauth://) do parametryzowanego wykonania aplikacji. Przed wersją 3.6.0 parametry przychodzące z URL były przekazywane do skompilowanego wrappera AppleScript za pomocą konkatenacji bez wystarczającej sanityzacji.
- CVE-2026-51681Krytyczne
Nieprawidłowa kontrola dostępu w funkcji setRemoteCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym ujawnienie administracji od strony WAN poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51680Krytyczne
Nieprawidłowa kontrola dostępu w funkcji setLedCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym modyfikację zachowania diod LED poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51679Krytyczne
Nieprawidłowa kontrola dostępu w funkcji setPasswordCfg routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym zmianę konta administratora poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-82695Krytyczne
W routerze Tenda AC18 (wersja 15.03.05.19) odkryto lukę w nieznanej funkcji pliku /goform/telnet w komponencie Telnet Handler. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-82694Krytyczne
W routerze Tenda AC1206 (wersja 15.03.06.23) zidentyfikowano podatność w funkcji R7WebsSecurityHandler pliku /goform/ate w komponencie Web UI. Manipulacja prowadzi do braku uwierzytelnienia. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in TanStack devtools-vite 0.7.0. Affected by this issue is the function installPackage of the file packages/devtools-bundler-core/src/package-manager.ts of the component Development Devtools Event Bus. The manipulation of the argument packageName results in os command injection. Attacking locally is a requirement. A high complexity level is associated with this attack. The exploitation is known to be difficult. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.