CVE-2026-79788
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W Dradis Community Edition kontrola dostępu oparta na uprawnieniach administratora nie jest stosowana, ponieważ stała Dradis::Pro nie jest zdefiniowana w wersji CE. Umożliwia to każdemu uwierzytelnionemu użytkownikowi (niebędącemu administratorem) utworzenie dostawcy AI wskazującego na dowolny adres HTTP/HTTPS, w tym wewnętrzny, oraz przypisanie go do wbudowanego agenta Roslin. Po wywołaniu interakcji AI serwer wysyła żądanie do adresu kontrolowanego przez atakującego (SSRF), a odpowiedź jest odzwierciedlana w przeglądarce atakującego.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków SSRF, co może prowadzić do ujawnienia wrażliwych danych z wewnętrznych zasobów, a także do eskalacji uprawnień w obrębie systemu.
Rekomendacja
Zaleca się aktualizację Dradis Community Edition do wersji, w której poprawiono kontrolę dostępu, oraz ograniczenie możliwości tworzenia dostawców AI tylko dla administratorów.
Powiązane podatności
- CVE-2026-120225Krytyczne
W urządzeniu Oray Pugongying X5 Pro do wersji 7.6.1 funkcja config_restore_ex w pliku /etc/openwrt_release jest podatna na przejście ścieżki względnej poprzez manipulację argumentem filename. Atak można zainicjować zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120224Krytyczne
W urządzeniu Oray Pugongying X5 Pro do wersji 7.6.1 funkcje run_apis_by_json/run_async_task w komponencie API Authorization pozwalają na obejście kontroli autoryzacji. Atak można przeprowadzić zdalnie, a publiczny exploit został udostępniony.
- CVE-2026-120198Krytyczne
W urządzeniu WAVLINK WL-WN530BE1-A (wersja V251117) wykryto podatność w funkcji con_check_read_finish w pliku /protocol.csp. Manipulacja argumentem group_name/IP-FROM prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120197Krytyczne
W urządzeniu WAVLINK WL-WN530HG4B (wersja M_V260724) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120196Krytyczne
W urządzeniu WAVLINK WN579X3-D (wersja V250402) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-120195Krytyczne
W urządzeniu WAVLINK WL-WN579A3-A (wersja 2026-03-10-94f93d4) wykryto podatność w funkcji set_wzdgwMesh w pliku /cgi-bin/adm.cgi, w komponencie Initial Setup Wizard. Manipulacja argumentem wlan_ssid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120189Krytyczne
W urządzeniu D-Link DIR-505 w wersji 1.10B02 wykryto podatność w funkcji save_upload_file/mp_upload_file w pliku /usr/bin/tftpd, obsługującej nazwy plików przesyłanych przez TFTP. Manipulacja danymi wejściowymi prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany.
- CVE-2026-118636Krytyczne
Klasa JavaNativeMessageDecoder w module codec Apache MINA 3.0 wywołuje ObjectInputStream.readObject() na bajtach ramki bez filtra klas. Aplikacja używająca tego dekodera w komunikacji z niezaufanym peerem jest narażona na zdalne wykonanie kodu poprzez łańcuchy gadgetów. Gałąź 3.0.0 jest nieaktywna i nie zostanie dla niej wydana poprawka.
- CVE-2026-120209Krytyczne
AJ-Report do wersji 1.7.1 podpisuje tokeny udostępniania przy użyciu zaszytego na stałe sekretu JWT, co pozwala atakującym na offline sfałszowanie ważnych Share-Tokenów. Atakujący może wygenerować token z reportCode 'dataSet', aby uzyskać dostęp do endpointu testTransform, który przekazuje skrypty do GroovyClassLoader i umożliwia nieuwierzytelnione zdalne wykonanie kodu.
- CVE-2026-120201Krytyczne
Jpom w wersjach od 2.10.0 do 2.11.12 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać uprawnienia superadministratora poprzez wstrzyknięcie warunku zapytania do nagłówka JPOM-USER-TOKEN. Atakujący może wysłać wartość taką jak 'is not null', którą parser Condition biblioteki Hutool interpretuje jako operator, a następnie wykonać polecenia za pomocą funkcji skryptowych Jpom.
Oryginalny opis (angielski, źródło NVD)
In Dradis Community Edition, the ProvidersController and AgentsController gate their admin_required before_action on `defined?(Dradis::Pro)`, a constant that is never defined in CE, so the authorization check is never applied. As a result, any authenticated (non-admin) user can create an AI provider pointing to an arbitrary HTTP/HTTPS address (including internal/link-local hosts such as http://169.254.169.254) and reassign the built-in Roslin agent to use it. When an AI interaction is triggered, the server issues a request to the attacker-supplied URL (server-side request forgery). For non-2xx responses, the target's response body is reflected verbatim to the attacker's browser via ActionCable/Turbo Stream error messages, making the SSRF readable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS