CVE-2026-88065
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
tts-be to backend dla selektora planów zajęć, który ma pomóc studentom w wyborze harmonogramów. Wersje przed 2.1.0 mają podatność Broken Access Control w kilku punktach API (takich jak /api/student/{id}/photo i /api/course_unit/{id}/exchange/metadata). Łącząc te nieuwierzytelnione punkty, zdalny atakujący może użyć backendu jako otwartego proxy do ominięcia kontroli dostępu, umożliwiając enumerację i ekstrakcję wrażliwych danych osobowych (PII) z systemów uczelnianych. Ujawnione dane obejmują pełne nazwiska, identyfikatory studentów, plany zajęć i zdjęcia. Problem naprawiono w wersji 2.1.0.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności studentów poprzez ujawnienie danych osobowych, co może prowadzić do konsekwencji prawnych i utraty zaufania.
Rekomendacja
Zaleca się natychmiastową aktualizację tts-be do wersji 2.1.0 lub nowszej oraz wdrożenie uwierzytelniania i autoryzacji na wszystkich punktach API.
Powiązane podatności
- CVE-2026-116508Krytyczne
TOTOLINK A950RG 4.1.2cu.5268_B20221104 zawiera podatność na przepełnienie bufora na stosie w funkcji sub_402340 pliku infostat.cgi (komponent Device-Information CGI). Manipulacja argumentem CONTENT_LENGTH prowadzi do przepełnienia, a exploit jest publicznie dostępny.
- CVE-2026-116506Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja apmib_set w pliku firewall.so jest podatna na wstrzyknięcie poleceń. Podatność może być wykorzystana zdalnie, a publiczny exploit jest dostępny.
- CVE-2026-116505Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja getDeviceInfo w pliku /var/lib/misc/udhcpd.leases jest podatna na wstrzyknięcie poleceń poprzez manipulację argumentem adresu MAC. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-116504Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja setCloudUpgradeFW w pliku lib/cste_modules/upgrade.so jest podatna na wstrzyknięcie poleceń poprzez manipulację argumentem FileName. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-110720Krytyczne
consul-k8s w wersjach 0.42.0 i późniejszych zawiera obejście autoryzacji między przestrzeniami nazw w regułach wiązania ACL komponentów. Może to pozwolić atakującemu na uzyskanie podwyższonych uprawnień w Consulu.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-102649Krytyczne
Podatność w operatorze Kubernetes Burrito (Terraform Automation Collaboration Software) przed wersją 0.13.0 polega na tym, że endpoint POST /api/webhook akceptuje niepodpisane zdarzenia GitHub i GitLab, gdy poświadczenia TerraformRepository nie mają ustawionego webhookSecret lub jest on pusty. Umożliwia to osobie znającej URL śledzonego repozytorium sfałszowanie zdarzeń i utworzenie lub usunięcie zasobów TerraformPullRequest z wybranymi przez atakującego polami Branch, Base i ID. W przypadku zdarzeń pull_request z GitHuba kontroler pobiera zmienione pliki na podstawie prawdziwego numeru PR, ale nie weryfikuje gałęzi z payloadu, co może prowadzić do nieautoryzowanego terraform plan z użyciem przechowywanych poświadczeń git i chmurowych.
- CVE-2026-115905Krytyczne
W bibliotece zip dla Rusta do wersji 9.0.4 ZipArchive traktuje nazwy plików z nagłówka central directory jako wiążące, podczas gdy ZipStreamReader rozpakowuje przy użyciu nazw z lokalnego nagłówka pliku, bez uzgadniania zduplikowanych metadanych. Spreparowane archiwum może wyglądać nieszkodliwie dla komponentu sprawdzającego central directory, ale spowodować zapis innej ścieżki i zawartości przez ekstraktor strumieniowy.
- CVE-2026-112346Krytyczne
OpenHands Software Agent SDK przed wersją 1.52.0 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu. Launchery DockerWorkspace i Apptainer wiążą serwer agenta sandbox z wszystkimi interfejsami sieciowymi (0.0.0.0) z pustą listą session_api_keys, co domyślnie wyłącza uwierzytelnianie.
- CVE-2026-93328Krytyczne
W Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) w wersjach 1.2.0–1.4.0 występuje podatność typu path traversal oraz brak autoryzacji w źródle cloud-storage. Nieuwierzytelniony zdalny atakujący może eksfiltrować pliki hosta do zewnętrznych bucketów Google Cloud Storage oraz nadpisać dowolne pliki lokalne poprzez spreparowane parametry wywołania narzędzia.
Oryginalny opis (angielski, źródło NVD)
`tts-be` is a backend for a timetable selector that aims to help students better choose their class schedules. Versions prior to 2.1.0 have a Broken Access Control vulnerability across several API endpoints (such as `/api/student/{id}/photo` and `/api/course_unit/{id}/exchange/metadata`). By chaining these unauthenticated endpoints, a remote attacker can use the backend as an open proxy to bypass authorization checks, allowing for the enumeration and extraction of sensitive Personally Identifiable Information (PII) from upstream university systems. The exposed data includes full names, student IDs, class schedules, and photos. This issue was fixed in version 2.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS