CVE-2026-78178
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W bibliotece jQWidgets do wersji 24.0.1 wykryto podatność w funkcjach JQXLite.extend i jqxBaseFramework.extend w pliku jqwidgets/jqx-all.js. Manipulacja powoduje niekontrolowaną modyfikację atrybutów prototypu obiektu. Atak może być inicjowany zdalnie.
Ocena ryzyka
Organizacja może być narażona na zdalne ataki typu prototype pollution, które mogą prowadzić do nieautoryzowanych zmian w aplikacji lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację jQWidgets do wersji nowszej niż 24.0.1, jeśli dostępna, oraz walidację danych wejściowych przekazywanych do funkcji extend.
Powiązane podatności
- CVE-2026-120240Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_41A748 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120239Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_419DA8 pliku /bin/ioos, w komponencie obsługi CLI WireGuard. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120238Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_4162A8 pliku /bin/ioos, w komponencie obsługi plików ovpn_file. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-62048Krytyczne
Wtyczka BookIt (Liquid Web / StellarWP) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji do 2.6.0.6 włącznie.
- CVE-2026-120338Krytyczne
Sandbox Generative UI w prefab-ui uruchamia kod Python w Pyodide (WebAssembly) w podprocesie Deno, ale od wersji 0.14.0 do 0.20.2 proces Deno startuje z nieograniczonymi uprawnieniami --allow-read, --allow-write i --allow-net, a API Deno pozostaje dostępne w globalnym obiekcie JavaScript. Umożliwia to kodowi Python wywoływanie Deno.readTextFileSync i Deno.writeTextFileSync, czyli odczyt i zapis plików jako użytkownik systemu serwera oraz trwałe wykonanie kodu przez zapis pliku .pth w site-packages.
- CVE-2026-120231Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_416568 pliku /bin/ioos, obsługującej interfejs CLI OpenVPN. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120230Krytyczne
W urządzeniu WAVLINK WN701AE (wersja 260105) wykryto podatność w funkcji del_vlan_group komponentu ioos Web Backend. Manipulacja argumentem vlan_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-120229Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_416B50 pliku /bin/ioos. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120228Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_416D88 pliku /bin/ioos (komponent ioos Service). Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został opublikowany.
- CVE-2026-120308Krytyczne
W Beta9 dzierżawca może podpiąć wolumen podczas wdrażania funkcji, endpointu lub kolejki zadań. Gateway buduje ścieżkę hosta łącząc katalog główny wolumenów współdzielonych, nazwę workspace i identyfikator wolumenu ze stubu, bez weryfikacji, czy wolumen należy do danego workspace. Segmenty katalogu nadrzędnego w identyfikatorze pozwalają zredukować ścieżkę do katalogu głównego systemu plików workera, który jest montowany w sandboxie z prawem zapisu, umożliwiając odczyt i zapis plików workera, w tym wolumenów innych dzierżawców.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in jQWidgets up to 24.0.1. This affects the function JQXLite.extend/jqxBaseFramework.extend of the file jqwidgets/jqx-all.js. This manipulation causes improperly controlled modification of object prototype attributes. The attack can be initiated remotely. The reported GitHub issue was closed with the label "not planned".
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS