CVE-2026-82586
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w ash_lua pozwala skryptom Lua dostarczonym przez użytkownika na odczyt atrybutów, które nie znajdują się na liście dozwolonych pól. Ścieżka agregacji operacji odczytu nie sprawdza listy dozwolonych pól, umożliwiając odczyt wrażliwych danych, takich jak hasła.
Ocena ryzyka
Osoba mogąca uruchomić skrypt Lua może uzyskać dostęp do poufnych danych, w tym haseł, co narusza poufność i może prowadzić do eskalacji uprawnień.
Rekomendacja
Zaktualizuj ash_lua do wersji 0.2.1 lub nowszej, która zawiera poprawkę wymuszającą sprawdzanie listy dozwolonych pól również w operacjach agregacji.
Powiązane podatności
- CVE-2026-116366Krytyczne
W ClickHouse Server wykryto podatność, która w określonych warunkach może pozwolić nieuwierzytelnionemu użytkownikowi z dostępem sieciowym na wykonanie dowolnego kodu na serwerze ClickHouse.
- CVE-2025-31704Krytyczne
W Dahua Intelligent Connection Center wykryto podatność, która pozwala zdalnemu atakującemu wysłać specjalnie spreparowane żądanie do systemu i wykonać dowolne polecenia, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-82104Krytyczne
W urządzeniach Teltonika Networks RUTOS (wersje 7.22–7.24.2) oraz TSWOS (wersje 1.9–1.10) istnieje luka pozwalająca nieuwierzytelnionemu użytkownikowi na bezpośrednie wywoływanie funkcji LUA z pominięciem walidacji stosowanych przy normalnych żądaniach API. Ponieważ żądania te nie przechodzą prawidłowych przepływów, może to prowadzić do wykonania poleceń w systemie operacyjnym.
- CVE-2026-103039Krytyczne
Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez pole niestandardowe wpisu typu List. Wartość pola jest przekazywana do globalnej funkcji maybe_unserialize() bez ograniczeń zamiast do utwardzonej GFCommon::maybe_unserialize(), co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć obiekt PHP do metadanych wpisu. Jeśli w innym pluginie lub motywie istnieje łańcuch gadgetów, może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-119263Krytyczne
Podatność typu memory corruption w mechanizmie GarbageCollection w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-119261Krytyczne
Nieprawidłowa walidacja danych wejściowych w bibliotece Skia w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2023-22793Krytyczne
Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) na serwerach z usługą Veeam Virtualization Extensions w Veeam Management Pack for Microsoft System Center.
- CVE-2026-61707Krytyczne
W SOCFortress CoPilot przed wersją 0.1.76 szablony raportów przesyłane przez użytkownika o najniższych uprawnieniach (customer_user) są później wykonywane przez niesandboxowane silniki Jinja2 podczas generowania raportu przez administratora lub analityka. Brak walidacji treści szablonu oraz brak izolacji między klientami pozwala atakującemu na wstrzyknięcie złośliwych wyrażeń Jinja, które są wykonywane jako kod Python na backendzie.
- CVE-2026-61645Krytyczne
W Docat występuje luka umożliwiająca przesłanie dowolnego pliku przez API Upload, ponieważ interfejs nie waliduje ścieżki ani typu przesyłanego pliku. Atakujący może nadpisać wrażliwe pliki konfiguracyjne lub umieścić złośliwe pliki na serwerze WWW Docat.
- CVE-2026-103093Krytyczne
ServiceNow naprawił podatność ucieczki z piaskownicy w ServiceNow AI Platform. Uwierzytelniony użytkownik z rolą administratora mógł obejść ograniczenia piaskownicy Rhino i wykonać dowolny kod w systemie operacyjnym hosta.
Oryginalny opis (angielski, źródło NVD)
Improper Protection of Alternate Path vulnerability in ash-project ash_lua allows a user-supplied Lua script to read attributes that are not on the exposed-field allow-list. AshLua exposes Ash resources to Lua scripts, gated by a manifest declaring which fields are exposed. The read action's operation aggregate path in AshLua.Runtime took the field name straight from the Lua call and resolved it with only String.to_existing_atom and Ash.Query.Aggregate.new!, neither of which consults the exposed-field allow-list the normal fields path enforces. A script can therefore read the value of any attribute of any record the actor may read, including private sensitive?: true columns, via resource.read({ operation = {"list", "hashed_password"} }); min and max give a value oracle. Anyone able to submit or influence a Lua script can reach this. This issue affects ash_lua: from 0.1.0 before 0.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS