CVE-2026-84238

Podatność PHP Object Injection w wtyczce JobSearch w wersjach do 3.2.0, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania dowolnego kodu.

Podatność eskalacji uprawnień w wtyczce Bricksforge w wersjach do 3.1.8.8, która pozwala użytkownikowi z rolą subskrybenta na podniesienie swoich uprawnień.

Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Podatność SQL Injection w wtyczce VikAppointments Services Booking Calendar w wersjach do 1.2.20, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Podatność PHP Object Injection w wtyczce Mail Mint w wersjach do 1.31.0, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania dowolnego kodu.

MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.

Taipy konfiguruje swój serwer socket.io z wildcard CORS origin i włączoną flagą poświadczeń, co pozwala dowolnej stronie internetowej na nawiązywanie poświadczonych połączeń WebSocket z aplikacjami ofiar. Atakujący mogą otwierać sesje socket.io z dowolnych domen i wywoływać modyfikacje zmiennych stanu oraz wywołania zwrotne akcji bez ochrony CSRF.

CAT używa Java String.hashCode jako jedynej kontroli integralności dla ciasteczek sesji bez kluczowania po stronie serwera, co pozwala atakującym na fałszowanie poprawnych sum kontrolnych offline. Atakujący mogą ustawić nagłówek x-forwarded-for, aby ominąć walidację powiązania IP i tworzyć sesje administratora z pełnym dostępem do konfiguracji.

Podatność w Tenda HG10 300001138 dotyczy funkcji formLogin w pliku /boaform/formLogin komponentu Boa Web Server. Manipulacja argumentem Username może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Eclipse Arrowhead w wersjach od 5.0.0 do 5.2.1, gdy API MQTT jest włączone z polityką uwierzytelniania certyfikatów, CertificateMqttFilter parsuje certyfikat X.509 wysyłany przez klienta w ładunku wiadomości MQTT i traktuje jego Subject DN jako uwierzytelnioną tożsamość. Podpis certyfikatu nie jest weryfikowany, a łańcuch wystawcy nie jest sprawdzany względem żadnego magazynu zaufania. Atakujący, który może publikować do brokera MQTT, może wygenerować samopodpisany certyfikat z CN=Sysop.<cloud>.<org>.arrowhead.eu i dnQualifier=op, aby uzyskać pełny dostęp zarządczy przez MQTT.