CVE-2026-85730
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
smol-toml to mały, szybki i poprawny parser i serializator TOML. Przed wersją 1.7.1 funkcja parse() może wejść w nieskończoną pętlę, gdy wartość wewnątrz tablicy lub tabeli inline jest poprzedzona komentarzem bez kończącego znaku nowej linii. W src/util.ts funkcja skipUntil() wywołuje indexOfNewline(), otrzymuje -1 na końcu danych wejściowych i resetuje kursor na początek ciągu zamiast opuszczać skanowanie struktury. Parser następnie zawiesza się w nieskończoność i może zużywać moc obliczeniową usługi, gdy aplikacja analizuje dane TOML kontrolowane przez atakującego. Problem został naprawiony w wersji 1.7.1.
Ocena ryzyka
Organizacja może doświadczyć ataku DoS (odmowa usługi), ponieważ nieskończona pętla może wyczerpać zasoby procesora i spowodować niedostępność usług.
Rekomendacja
Zaleca się aktualizację smol-toml do wersji 1.7.1 lub nowszej.
Powiązane podatności
- CVE-2026-63377Krytyczne
W TAKO AI Agent for Okta przed wersją 3.0.1-beta endpoint POST /api/auth/setup pozwala nieuwierzytelnionemu atakującemu sieciowemu utworzyć pierwsze konto administratora przed zakończeniem konfiguracji przez właściciela. Funkcja initial_setup sprawdza tylko flagę is_setup i nie wymaga uwierzytelnienia, tokenu bootstrap ani ograniczeń sieciowych, a domyślna konfiguracja nasłuchuje na 0.0.0.0:8001.
- CVE-2026-62863Krytyczne
MoLing w trybie SSE (uruchamiany z opcją -l) nie uwierzytelnia żądań do endpointów /sse i /message, a zależność mcp-go ustawia nagłówek Access-Control-Allow-Origin: *. Złośliwa strona może otworzyć cross-origin EventSource do /sse, odczytać sessionId i wykonać nieautoryzowane wywołania narzędzi MCP przez /message, co może prowadzić do odczytu/zapisu plików lub wykonania poleceń. Problem naprawiono w wersji 0.5.0.
- CVE-2026-62853Krytyczne
W ThingLinks przed wersją 1.4.0 endpoint /groovyScriptTest/registerScript przyjmuje treść skryptu Groovy od użytkownika i przekazuje ją do niesandboxowanego procesu kompilacji i ładowania. Uwierzytelniony atakujący może dostarczyć kod, który zostanie skompilowany i uruchomiony na serwerze, co prowadzi do zdalnego wykonania kodu po stronie serwera. Problem dotyczy przepływu testowania/rejestracji skryptów Groovy w silniku reguł i został naprawiony w wersji 1.4.0.
- CVE-2026-62849Krytyczne
W ThingLinks przed wersją 1.4.0 występuje nieuwierzytelniona podatność SQL injection w API TDengine TDS. Wartości pól JSON przesyłane do /anyUser/tds/insertTableData trafiają do niebezpiecznego konstruowania zapytań SQL w mapperze TDS, co pozwala zdalnemu nieuwierzytelnionemu atakującemu modyfikować dane szeregów czasowych TDengine, w tym wstawiać niepożądane wiersze lub nadpisywać istniejące odczyty. Problem naprawiono w wersji 1.4.0.
- CVE-2026-117666Krytyczne
Biblioteka ssl_verify_fun (deadtrickster) nieprawidłowo waliduje certyfikaty z niezgodnością hosta, ponieważ funkcja try_match_wildcard/4 w src/ssl_verify_hostname.erl zakotwicza tylko tekst przed i po znaku * w identyfikatorze takim jak f*.example.net. Powoduje to, że wildcard obejmuje również kropki i certyfikat jest akceptowany dla f.evil.example.net, a także *.168.1.1 pasuje do adresu IP 192.168.1.1. Problem dotyczy wersji od 1.0.1 przed 1.1.8.
- CVE-2026-78403Krytyczne
Podatność przepełnienia bufora na stosie oraz brak autoryzacji w Thales Sentinel Keys Server na Windows. Serwer nie sprawdza długości pierwszego pola w żądaniu HTTP, co pozwala atakującemu na przesłanie spreparowanego żądania i potencjalne zdalne wykonanie kodu z uprawnieniami NT AUTHORITY\SYSTEM.
- CVE-2026-61850Krytyczne
W Kargo (wersje od 0.6.0 do 1.8.14, 1.9.9 i 1.10.8) występują dwie luki autoryzacji w API RBAC ograniczonym do projektu. Użytkownik z delegowanym uprawnieniem do zarządzania rolami lub kontami usług może przyznać uprawnienia wykraczające poza własne, co umożliwia eskalację do poziomu administratora projektu.
- CVE-2026-61620Krytyczne
HoneySQL konwertuje struktury danych Clojure na SQL. W wersjach od 2.0.0 do 2.7.1392 aplikacje przekazujące dane użytkownika do DSL przez keyword lub symbol mogą generować ciągi SQL podatne na wstrzyknięcie SQL, ponieważ niektóre formatery nie stosują sprawdzania podejrzanych znaków do nazw encji.
- CVE-2026-55598Krytyczne
PinePods przed wersją 0.9.0 pozwala uwierzytelnionemu użytkownikowi subskrybować kontrolowany przez atakującego kanał RSS, którego adres enclosure jest przechowywany bez walidacji hosta/IP. Serwer wykonuje żądania GET/HEAD do wewnętrznych usług, umożliwiając enumerację usług, ujawnienie danych i kradzież poświadczeń z metadanych chmury.
- CVE-2026-116241Krytyczne
pgAdmin 4 przed wersją 9.19 zawiera obejście poprawki CVE-2026-17566 w narzędziu Import/Export Data. Nieprawidłowa walidacja ukośnika w podwójnie cytowanym identyfikatorze pozwala ukryć nawias zamykający i wykonać klauzulę TO PROGRAM przez psql na hoście pgAdmin z uprawnieniami konta systemowego.
Oryginalny opis (angielski, źródło NVD)
smol-toml is a small, fast, and correct TOML parser and serializer. Prior to 1.7.1, parse() can enter an infinite loop when a value inside an array or inline table is followed by a comment with no trailing newline. In src/util.ts, skipUntil() calls indexOfNewline(), receives -1 at the end of input, and resets the cursor to the beginning of the string instead of leaving the structure scan. The parser then hangs indefinitely and can consume a service's processing capacity when an application parses attacker-controlled TOML. This issue is fixed in version 1.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS