CVE-2026-86404
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
Konfiguracja deserializacji Artemis w EAP domyślnie zezwala na deserializację. Metoda ObjectMessage.getObject() używa ObjectInputStreamWithClassLoader, która implementuje filtrowanie allow-list/block-list przez checkSecurity()/isTrustedType(). Jednak domyślnie zarówno allow-list, jak i block-list są puste. Gdy allow-list jest pusty (rozmiar == 0), isTrustedType() zwraca true dla WSZYSTKICH klas, co oznacza, że wszystkie klasy są domyślnie deserializowalne.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub ataków typu deserializacja, co może prowadzić do przejęcia systemu lub naruszenia integralności danych.
Rekomendacja
Zaleca się skonfigurowanie allow-list i block-list w Artemis, aby ograniczyć deserializację tylko do zaufanych klas, oraz rozważenie wyłączenia deserializacji, jeśli nie jest wymagana.
Powiązane podatności
- CVE-2026-93327Krytyczne
Podatność deserializacji niezaufanych danych w zadaniu SubWorkflow w Google Cloud Application Integration (wersje przed 2026-09-11) pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu przy użyciu spreparowanego obiektu serializowanego. Podatność została załatana 11 września 2026 r.
- CVE-2026-61738Krytyczne
W SOCFortress CoPilot przed wersją 0.1.77 endpoint POST /api/scoutsuite/generate-gcp-report przekazuje surową nazwę pliku z nagłówka multipart do funkcji zapisu bez sanityzacji ani sprawdzenia ścieżki docelowej. Nazwa pliku z sekwencją przejścia katalogów pozwala zapisać przesłany JSON poza zamierzonym katalogiem raportów, w tym w katalogu źródłowym aplikacji.
- CVE-2026-61737Krytyczne
W szablonie ng-antd-admin przed wersją 22.0 zaszyty na stałe domyślny sekret JWT umożliwia fałszowanie tokenów, jeśli wdrożenie nie zastąpiło domyślnego sekretu, bez ostrzeżenia przy starcie. Atakujący może ominąć uwierzytelnianie i autoryzację oraz podszyć się pod dowolnego użytkownika, w tym administratora.
- CVE-2026-61730Krytyczne
W SOCFortress CoPilot nieuwierzytelniony mount StaticFiles /scoutsuite-report udostępnia katalog scoutsuite-report, ujawniając raporty HTML oraz pliki wyników zawierające informacje o IAM, zasobach i błędach konfiguracji AWS, Azure i GCP. Podczas skanowania GCP klucz konta usługi jest zapisywany w tym samym katalogu i usuwany dopiero po zakończeniu skanowania, więc anonimowy klient może go pobrać.
- CVE-2026-61729Krytyczne
W SOCFortress CoPilot przed wersją 0.1.76 funkcje verify_graylog_header i verify_velociraptor_header uwierzytelniają webhooki przy użyciu tego samego publicznie zaszytego domyślnego nagłówka, obecnego także w .env.example. Wdrożenia z niezmienionym sekretem pozwalają anonimowemu wywołującemu ominąć uwierzytelnianie JWT i wywołać akcje active-response oraz tworzyć sfałszowane alerty.
- CVE-2026-61728Krytyczne
W SOCFortress CoPilot użytkownicy portalu, w tym konta typu customer_user, mogą przesyłać znaczniki HTML przez endpoint komentarzy do alertów, które są renderowane bez sanityzacji przy użyciu v-html. Umożliwia to przechowywany XSS, a ponieważ tokeny dostępu i odświeżania są przechowywane w pamięci dostępnej dla JavaScript, wstrzyknięty skrypt może je wykraść i przejąć konto przeglądającego. Podatność dotyczy także innych pól SOC (sprawy, zasoby, health-check) i została naprawiona w wersjach 0.1.70 (health-check) oraz 0.1.76 (komentarze i pozostałe pola).
- CVE-2026-119660Krytyczne
MuseBot przed wersją 2.0.0 zawiera podatność ominięcia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować sesje administratora przy użyciu zaszytego domyślnego klucza sesji 'muse_bot_session_key'. Atakujący może podpisać cookie sesji z dowolnym user_id i uzyskać pełny dostęp administracyjny.
- CVE-2026-112905Krytyczne
W Vvveb przed wersją 1.0.8.7 uwierzytelniony IDOR na endpoincie admin/auth-token pozwala dowolnemu administratorowi odczytać i nadpisać tokeny API innego administratora. Podatność została załatana w wersji 1.0.8.7.
- CVE-2026-110799Krytyczne
W Vvveb przed wersją 1.0.8.7 funkcjonalność resetowania hasła jest podatna na ominięcie uwierzytelniania z powodu niewystarczającej walidacji parametrów GET user i token. Podatność została załatana w wersji 1.0.8.7.
- CVE-2026-119597Krytyczne
OpenDeepWiki do wersji 2.0.6 zawiera zaszyty na stałe klucz podpisywania JWT w pliku appsettings.json. Nieuwierzytelniony atakujący może sfałszować tokeny administratora z rolą Admin i uzyskać dostęp do endpointów /api/admin.
Oryginalny opis (angielski, źródło NVD)
EAP's Artemis deserialization configuration permits deserialization by default. ObjectMessage.getObject() uses ObjectInputStreamWithClassLoader, which implements allow-list/block-list filtering via its checkSecurity()/isTrustedType() method. However, by default both allow-list and block-list are empty. When the allow-list is empty (size == 0), isTrustedType() returns true for ALL classes. This means all classes are deserializable by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS