CVE-2026-79785
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W X-AnyLabeling pobieranie modeli wyłącza weryfikację certyfikatów TLS. Funkcja download_with_retry używa niezweryfikowanego kontekstu SSL, co pozwala atakującemu przechwycić połączenie i podmienić pobierany model. Podmieniony plik może być użyty do wykonania dowolnego kodu lub wpłynięcia na wyniki adnotacji.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu na maszynie użytkownika oraz manipulację wynikami działania aplikacji. Atakujący może przechwycić ruch sieciowy i dostarczyć złośliwy model.
Rekomendacja
Zaleca się aktualizację X-AnyLabeling do wersji, która weryfikuje certyfikaty TLS. Należy również unikać korzystania z niezaufanych sieci lub skonfigurować odpowiednie zabezpieczenia sieciowe.
Powiązane podatności
- CVE-2026-82592Krytyczne
Wykryto podatność w routerze D-Link DIR-825M w wersji 1.1.8. Dotyczy ona funkcji sub_46725C w pliku /boafrm/formDiskFormat w komponencie Disk Formatting Handler Endpoint. Manipulacja argumentem partition prowadzi do przepełnienia bufora na stosie. Atak może być wykonany zdalnie, a exploit jest publiczny.
- CVE-2026-82542Krytyczne
Podatność w Tenda HG10 300001138 dotyczy funkcji formIPv6Routing w pliku /boaform/admin/formIPv6Routing w komponencie Boa Web Server. Manipulacja argumentem destNet powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-82539Krytyczne
W TOTOLINK A720R w wersji 4.1.5cu.630_B20250509 wykryto podatność w funkcji setMacFilterRules pliku cstecgi.cgi komponentu MAC Filtering. Manipulacja argumentem desc może prowadzić do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15980Krytyczne
Wtyczka MyHome Core dla WordPressa do wersji 4.4.5 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku autoryzacji w handlerze AJAX send_link() oraz nieprawidłowej walidacji tokenów w funkcji activate(). Pozwala to nieuwierzytelnionemu atakującemu wygenerować token aktywacyjny dla niepotwierdzonego konta użytkownika i uzyskać ważny cookie uwierzytelniające dla tego konta, w tym dla administratorów.
- CVE-2026-15369Krytyczne
Wtyczka Custom User Registration Fields for WooCommerce do WordPressa w wersjach do 2.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z akceptowania przez wtyczkę wartości afreg_select_user_role kontrolowanej przez atakującego z nieuwierzytelnionego żądania WooCommerce Store API /wc/store/v1/checkout, zapisywania jej w metadanych zamówienia i przekazywania bezpośrednio do WP_User::add_role() bez walidacji względem listy dozwolonych ról skonfigurowanej przez administratora. Umożliwia to nieuwierzytelnionym atakującym podniesienie uprawnień do administratora poprzez utworzenie konta podczas realizacji zamówienia ze zmodyfikowanym ciałem JSON określającym rolę administratora.
- CVE-2026-82460Krytyczne
Cloud Commander przed wersją 19.20.2 zawiera podatność na przechodzenie po katalogach w operacjach plikowych REST i endpointach markdown, która nieprawidłowo waliduje normalizację ścieżek. Atakujący mogą użyć sekwencji przechodzenia po katalogach do odczytu, zapisu, przenoszenia lub kopiowania plików poza skonfigurowanym katalogiem głównym.
- CVE-2026-82456Krytyczne
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
- CVE-2026-82454Krytyczne
API Omnivore (packages/api) przed poprawką w commicie abf53d6 zawiera ominięcie uwierzytelniania w weryfikacji tokenów logowania przez Apple. Funkcja decodeAppleToken pobierała pole 'alg' z nagłówka JWT dostarczonego przez atakującego i przekazywała je jako jedyny dozwolony algorytm do jwt.verify(). Używając jsonwebtoken v8 (który nie weryfikuje zgodności klucza/algorytmu), atakujący może ustawić alg=HS256 i podpisać sfałszowany token, używając publicznego klucza RSA Apple jako sekretu HMAC, omijając weryfikację podpisu i podszywając się pod dowolne konto powiązane z Apple.
- CVE-2026-82452Krytyczne
rust-iot-platform do commita 5df942ab zawiera podatność na ominięcie uwierzytelniania, gdzie większość tras API REST nie ma zabezpieczeń uwierzytelniających w sygnaturach handlerów. Nieuwierzytelnieni atakujący mogą tworzyć, aktualizować, listować, pobierać i usuwać konta użytkowników, bezpośrednio uzyskując dostęp do niezabezpieczonych endpointów bez podawania prawidłowych poświadczeń.
- CVE-2026-82448Krytyczne
Shinobi przed commitem 5a76c74f zawiera zakodowany na stałe klucz połączenia w usłudze węzła podrzędnego, który pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych zapytań do bazy danych. Atakujący, którzy dotrą do portu węzła podrzędnego, mogą przedstawić zakodowany klucz podczas uzgadniania WebSocket, a następnie wysyłać zapytania SQL przez handler onWebSocketDataFromChildNode, aby odczytywać i modyfikować rekordy użytkowników oraz konfigurację kamer.
Oryginalny opis (angielski, źródło NVD)
X-AnyLabeling's model downloader disabled TLS certificate verification. download_with_retry in anylabeling/services/auto_labeling/model.py built a context with ssl._create_unverified_context() and passed it to urllib.request.urlopen, so neither the certificate chain nor the hostname was checked on any model download, and models are fetched over HTTPS from the project's release host. Any party positioned to intercept that connection could therefore answer it with content of their own choosing. The response is written to a .part file and moved into place with os.replace, and the only post-download check, safe_check_model, validates the file's format rather than its provenance: no hash or signature is compared against an expected value. For an ONNX target the substituted file passes onnx.checker.check_model and is then used for inference, so the attacker chooses the model that produces the application's annotations. For a .pth or .pt target, which the shipped SAM2 video, YOLOE, UPN and open_vision configurations use, the check worker calls torch.load without weights_only, so a substituted file is unpickled and executes code of the attacker's choosing on PyTorch releases predating the weights_only default.