CVE-2026-8046
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w produktach niewystarczająco weryfikujących autoryzację przy usuwaniu kont użytkowników. Uwierzytelniony zdalny użytkownik z niskimi uprawnieniami może wykorzystać tę podatność do usunięcia innych użytkowników, w tym tych z wyższymi uprawnieniami.
Ocena ryzyka
Ryzyko nieautoryzowanego usunięcia kont administratorów lub innych użytkowników przez osobę z niskimi uprawnieniami, co może prowadzić do utraty dostępu do systemu.
Rekomendacja
Zastosuj poprawki od producenta, które wzmacniają weryfikację autoryzacji przy usuwaniu kont.
Powiązane podatności
- CVE-2026-88069Krytyczne
Pandora zawiera podatność na przechodzenie po ścieżkach w mechanizmie rozpakowywania archiwów. Podczas przetwarzania specjalnie spreparowanego archiwum lub obrazu dysku, ścieżki plików kontrolowane przez atakującego mogą być używane bez zapewnienia, że wynikowy cel pozostanie w zamierzonym katalogu ekstrakcji. Atakujący, który może przesłać złośliwy plik do analizy, może użyć sekwencji przechodzenia po ścieżkach, aby zapisać wyodrębnione treści poza wyznaczonym katalogiem, potencjalnie nadpisując pliki dostępne dla procesu Pandora.
- CVE-2026-87911Krytyczne
Słabość polegająca na wstrzyknięciu poleceń systemu operacyjnego w mechanizmie wymuszania trybu tylko do odczytu w komponencie walidacji SQL w amazon awslabs postgres-mcp-server przed wersją 1.1.7 może pozwolić nieuwierzytelnionemu aktorowi na wykonanie poleceń systemu operacyjnego na hoście samodzielnie zarządzanego serwera PostgreSQL poprzez umieszczenie spreparowanego polecenia COPY ... TO PROGRAM w treści przetwarzanej, gdy uwierzytelniony użytkownik wchodzi w interakcję z serwerem MCP w domyślnym trybie tylko do odczytu.
- CVE-2026-54694Krytyczne
SkillTree przed wersją 4.4.2 zawiera podatność XSS wynikającą z połączenia dwóch błędów: braku kodowania HTML w StringHighlighter.js oraz użycia v-html w HighlightedValue.vue. Atakujący może zarejestrować konto z złośliwym polem firstName/lastName/nickname, a po otwarciu strony Quiz Runs przez administratora, payload wykonuje się w jego przeglądarce. Istnieją trzy ścieżki ataku o rosnącym wpływie: podstawowy XSS, zdalne ładowanie skryptów przez import() oraz kradzież tokenów CSRF.
- CVE-2026-87929Krytyczne
MaxSite CMS do wersji 109.6 zawiera na stałe zaszyty klucz szyfrowania sesji w pliku application/config/config.php, który nie jest zmieniany podczas instalacji. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie ciasteczek sesji administratora poprzez obliczenie HMAC-SHA1 z publicznie znanym kluczem, omijając kontrolę uwierzytelniania w funkcjach is_login() i mso_check_allow().
- CVE-2026-47156Krytyczne
MantisBT w wersjach 2.28.3 i wcześniejszych zawiera krytyczną podatność obejścia uwierzytelniania w funkcji mci_check_login() w API SOAP. Każdy użytkownik znający ważny cookie_string może uwierzytelnić się jako dowolny inny użytkownik (znając jego nazwę), w tym administrator, bez znajomości hasła ofiary. Podatność jest wykorzystywalna bez wcześniejszego dostępu w domyślnych instalacjach, ponieważ samorejestracja jest domyślnie włączona.
- CVE-2026-68484Krytyczne
Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Funkcje administracyjne nie weryfikują poprawnie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na tworzenie kont administratora i uzyskiwanie podwyższonych uprawnień.
- CVE-2026-67403Krytyczne
Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Niewystarczające sprawdzanie uprawnień na poziomie dzierżawy (tenant) pozwala uwierzytelnionym użytkownikom na dostęp do zasobów administracyjnych należących do innych dzierżawców poprzez podanie ważnego, nieprzewidywalnego identyfikatora dzierżawy.
- CVE-2026-67401Krytyczne
Podatność w cPanel umożliwia kontu z dostępem do poczty osiągnięcie zdalnego wykonania kodu jako root poprzez SQL Injection w komponencie EmailTrack.
- CVE-2026-22590Krytyczne
eprosima Fast DDS przed wersjami 2.6.12, 2.14.6, 3.2.4, 3.3.1 i 3.4.2 zawiera zdalnie wyzwalane odczyt poza zakresem podczas przetwarzania podkomunikatów RTPS DATA_FRAG. Atakujący może stworzyć DATA_FRAG z dużym sampleSize, ale małym rzeczywistym ładunkiem, co prowadzi do odczytu poza buforem datagramu UDP i skopiowania danych z sąsiedniej pamięci sterty do bufora składania.
- CVE-2026-85103Krytyczne
Przepełnienie bufora na stercie podczas dekodowania ASN.1 certyfikatów VPN może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu na systemach Check Point Quantum Security Management i Quantum Security Gateway.
Oryginalny opis (angielski, źródło NVD)
The affected products insufficiently verify authorization when deleting user accounts. An authenticated, low-privileged remote user can exploit this vulnerability to delete other users, including those with higher privileges.