CVE-2026-81035
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Midday pozwala każdemu członkowi zespołu na jego usunięcie. Procedura usuwania autoryzuje wywołującego za pomocą pomocnika team-access, który zwraca true dla każdego wiersza w tabeli członkostwa, niezależnie od roli. Sąsiednie procedury usuwania lub aktualizacji członka sprawdzają rolę i odmawiają, jeśli nie jest właścicielem, ale usuwanie zespołu nie ma takiego sprawdzenia. Każdy zaproszony użytkownik może usunąć zespół i wszystkie powiązane dane, a zadanie czyszczące używa zapisanych tokenów bankowych do połączeń z dostawcami.
Ocena ryzyka
Niska uprzywilejowany użytkownik może usunąć cały zespół i dane, a także wykorzystać tokeny bankowe do nieautoryzowanych operacji, co prowadzi do utraty danych i naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj Midday do wersji, która wymaga roli właściciela do usunięcia zespołu. Dodatkowo sprawdź, czy procedura aktualizacji również wymaga odpowiedniej roli.
Powiązane podatności
- CVE-2026-120198Krytyczne
W urządzeniu WAVLINK WL-WN530BE1-A (wersja V251117) wykryto podatność w funkcji con_check_read_finish w pliku /protocol.csp. Manipulacja argumentem group_name/IP-FROM prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120197Krytyczne
W urządzeniu WAVLINK WL-WN530HG4B (wersja M_V260724) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120196Krytyczne
W urządzeniu WAVLINK WN579X3-D (wersja V250402) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-120195Krytyczne
W urządzeniu WAVLINK WL-WN579A3-A (wersja 2026-03-10-94f93d4) wykryto podatność w funkcji set_wzdgwMesh w pliku /cgi-bin/adm.cgi, w komponencie Initial Setup Wizard. Manipulacja argumentem wlan_ssid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120189Krytyczne
W urządzeniu D-Link DIR-505 w wersji 1.10B02 wykryto podatność w funkcji save_upload_file/mp_upload_file w pliku /usr/bin/tftpd, obsługującej nazwy plików przesyłanych przez TFTP. Manipulacja danymi wejściowymi prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany.
- CVE-2026-118636Krytyczne
Klasa JavaNativeMessageDecoder w module codec Apache MINA 3.0 wywołuje ObjectInputStream.readObject() na bajtach ramki bez filtra klas. Aplikacja używająca tego dekodera w komunikacji z niezaufanym peerem jest narażona na zdalne wykonanie kodu poprzez łańcuchy gadgetów. Gałąź 3.0.0 jest nieaktywna i nie zostanie dla niej wydana poprawka.
- CVE-2026-120209Krytyczne
AJ-Report do wersji 1.7.1 podpisuje tokeny udostępniania przy użyciu zaszytego na stałe sekretu JWT, co pozwala atakującym na offline sfałszowanie ważnych Share-Tokenów. Atakujący może wygenerować token z reportCode 'dataSet', aby uzyskać dostęp do endpointu testTransform, który przekazuje skrypty do GroovyClassLoader i umożliwia nieuwierzytelnione zdalne wykonanie kodu.
- CVE-2026-120201Krytyczne
Jpom w wersjach od 2.10.0 do 2.11.12 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać uprawnienia superadministratora poprzez wstrzyknięcie warunku zapytania do nagłówka JPOM-USER-TOKEN. Atakujący może wysłać wartość taką jak 'is not null', którą parser Condition biblioteki Hutool interpretuje jako operator, a następnie wykonać polecenia za pomocą funkcji skryptowych Jpom.
- CVE-2026-118235Krytyczne
Wtyczka SimpleForm dla WordPressa (wersje do 3.10.2) jest podatna na dowolne przesyłanie plików przez funkcję handle_upload. Brak listy dozwolonych kluczy plików oraz obejście walidacji rozszerzenia i MIME nazwą pliku z końcową kropką pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Jedyną kontrolą dostępu jest nonce publikowany w atrybucie data-nonce każdego publicznego formularza.
- CVE-2026-103882Krytyczne
Wtyczka Acadlix LMS dla WordPressa (wersje do 1.1.9) jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji post_delete_assessment_file_by_id. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu kluczowych plików, takich jak wp-config.php. Callback uprawnień weryfikuje jedynie ogólny nonce wp_rest publikowany w obiekcie acadlixOptions na każdej stronie frontendowej, co w praktyce obniża wymóg uwierzytelnienia do nieuwierzytelnionego.
Oryginalny opis (angielski, źródło NVD)
Midday allows any member of a team to delete it. The delete procedure in apps/api/src/trpc/routers/team.ts authorises the caller with the team-access helper, which returns true for every row in the team-membership table irrespective of the role it records, and the data-layer function it calls re-checks the same helper and nothing else. The neighbouring procedures that remove or update a member in the same router each resolve the caller's role and refuse the request unless it is owner, so the check exists in the file and is not applied to deletion. Member is the role an invited user receives, so any invitee can remove the team and every record scoped to it, and the deletion enqueues the cleanup job with the stored bank-connection tokens, which the job then uses against the connected providers. The update procedure in the same router carries no role check either.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS