CVE-2026-84994

Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.

Wtyczka Conversational Forms for ChatBot (do wersji 1.5.1) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Atakujący może dostarczyć złośliwe dane, które zostaną zdeserializowane przez aplikację.

Wtyczka OttoKit (do wersji 1.1.40) ma błąd nieprawidłowego przypisania uprawnień, który pozwala na eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.

Wtyczka Booktics (do wersji 1.0.29) jest podatna na wstrzyknięcie SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykonać dowolne zapytania SQL.

phpMyFAQ w wersjach 4.0.0 przed 4.1.9 zawiera lukę obejścia uwierzytelniania w endpointach rejestracji WebAuthn, które przypisują poświadczenia do dowolnego konta bez uwierzytelnienia i walidacji wyzwania. Atakujący może przygotować nazwę użytkownika ofiary, przesłać sfałszowaną atestację fmt=none, aby zarejestrować passkey, a następnie zalogować się z pominięciem hasła i TOTP, przejmując konto.

Wtyczka LearnPress dla WordPressa w wersjach do 4.4.10 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych z parametru 'checkout-email' w akcji AJAX podczas finalizacji zamówienia. Wartość przechodzi przez sanitize_text_field(), które nie usuwa składni serializowanego obiektu, jest zapisywana w tabeli sesji LearnPress, a następnie przekazywana do unserialize() bez ograniczenia allowed_classes.

Wtyczka LatePoint dla WordPressa w wersjach do 5.7.4 włącznie jest podatna na obejście uwierzytelniania poprzez warunek wyścigu (race condition) w funkcji verifyOTP. Licznik prób weryfikacji OTP jest aktualizowany nieatomowo, bez warunku WHERE attempts < 10 i bez blokady wiersza, co tworzy okno TOCTOU pozwalające równoległym żądaniom obejść limit 10 prób.

Mage OSS w wersjach do 0.9.80 (przed commitem 76c4f46) może kontynuować tworzenie sesji po napotkaniu nieznanego dostawcy OAuth. Nieznany dostawca OAuth nie jest prawidłowo odrzucany, co pozwala na utworzenie sesji.

Claude Agent SDK to zestaw SDK w języku Python dla Claude Code. W wersjach przed 0.2.121 opcja resume jest przekazywana do Claude CLI jako osobny token bez walidacji, więc wartość zaczynająca się od myślnika jest interpretowana jako niezależna flaga CLI. Atakujący może wstrzyknąć flagę --mcp-config, aby zdefiniować serwer MCP typu stdio, co powoduje wykonanie dowolnych poleceń przy starcie CLI poza kontrolami uprawnień SDK.

ZoneMinder to darmowe, otwartoźródłowe oprogramowanie do monitoringu CCTV. W wersjach przed 1.38.3 funkcja downloadEvents() ręcznie otacza wartość Name monitora pojedynczymi cudzysłowami zamiast używać escapeshellarg() przed umieszczeniem jej w poleceniach powłoki, gdy użytkownik z uprawnieniami monitor-create lub monitor-edit zapisze nazwę monitora zawierającą metaznaki powłoki, a użytkownik z uprawnieniem Events View wyeksportuje zdarzenia tego monitora. W tym mechanizmie ataku zapisana nazwa monitora trafia zarówno do polecenia konkatenacji ffmpeg, jak i do polecenia archiwizacji tar lub zip, i wydostaje się z ręcznego cytowania. Dowolne polecenia są wykonywane jako użytkownik serwera WWW.