CVE-2026-89011
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
isomorphic-git w wersjach przed 1.42.0 zawiera podatność prototype pollution w funkcji getRemoteInfo. Złośliwy operator serwera Git może zanieczyścić Object.prototype, ogłaszając spreparowane nazwy ref zawierające segmenty ścieżki '__proto__' podczas negocjacji ref.
Ocena ryzyka
Atakujący kontrolujący serwer Git może przekierować kolejne operacje sieciowe przez własne proxy i doprowadzić do przesłania danych uwierzytelniających ofiary do atakującego poprzez wywołanie callbacku onAuth.
Rekomendacja
Zaktualizuj bibliotekę isomorphic-git do wersji 1.42.0 lub nowszej.
Powiązane podatności
- CVE-2026-61567Krytyczne
W AVideo przed wersją 8.1.0 endpoint streamingu `view/videosListToLive.php` ufa danym zwróconym przez atakującego w `webSiteRootURL` i traktuje je jako stan sesji, pozwalając nieuwierzytelnionemu atakującemu na samodzielne przyznanie sobie uprawnień `isLogged` i `canStream`. Ścieżki z listy wideo są wstawiane bez escapowania do poleceń `ffprobe` i `ffmpeg` wykonywanych przez `exec`, co umożliwia wstrzyknięcie poleceń systemowych. Luka jest naprawiona w wersji 8.1.0.
- CVE-2026-61564Krytyczne
W AVideo przed wersją 8.1.0 nieuwierzytelniony endpoint instalatora `install/checkConfiguration.php` buduje plik `videos/configuration.php`, wstawiając parametry żądania, w tym `webSiteRootURL`, do literałów PHP w pojedynczych cudzysłowach bez escapowania. Atakujący może zamknąć literał i wstrzyknąć kod PHP wykonywany jako użytkownik serwera WWW. Wymagane jest, aby plik `videos/configuration.php` nie istniał, a parametry bazy mogły wskazywać na serwer atakującego. Luka jest naprawiona w wersji 8.1.0.
- CVE-2026-118690Krytyczne
Signal K Server przed wersją 2.33.0 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym pobierać archiwa logów przez endpoint `/skServer/ziplogs`. Atakujący mogą wyodrębnić `secretKey` JWT z `security.json` w pliku ZIP, sfałszować tokeny administratora i utworzyć trwałe konta administracyjne. Luka jest naprawiona w wersji 2.33.0.
- CVE-2026-63190Krytyczne
W FearlessCMS przed wersją 0.1.4 pięć skryptów debug/test w katalogu admin/ wykonuje uprzywilejowane operacje bez uwierzytelnienia, ochrony CSRF i odpowiedniej walidacji ścieżek. Na wbudowanym serwerze PHP (w tym w domyślnym wdrożeniu Docker) można obejść bramkę logowania przez /./admin/ i uzyskać zapis plików .md, odczyt katalogów, XSS oraz wyczerpanie dysku.
- CVE-2026-117574Krytyczne
W ai-gateway-payload-processing uwierzytelniony zdalny atakujący może podać w treści żądania lub nagłówku identyfikator modelu innego najemcy. Usługa nie weryfikuje autoryzacji przed pobraniem poświadczeń ze wspólnego magazynu, więc wstrzykuje klucze API docelowego najemcy do żądania.
- CVE-2026-118264Krytyczne
W frameworku Echo (Go) od wersji 4.0.0 do 4.16.1 oraz w wersji 5.4.1 middleware Proxy wybiera surowy tunel z żądania WebSocket klienta przed weryfikacją, czy skonfigurowany upstream zaakceptował upgrade. Jeśli upstream odrzuci upgrade zwykłą odpowiedzią keep-alive, kolejne żądania HTTP na tym połączeniu trafiają bezpośrednio do upstreamu z pominięciem routera Echo i middleware tras. Może to obejść uwierzytelnianie lub autoryzację egzekwowane wyłącznie przez trasy Echo.
- CVE-2026-103409Krytyczne
W Juniper Networks Session Smart Router występuje podatność polegająca na braku uwierzytelniania dla funkcji krytycznej, co pozwala nieuwierzytelnionemu atakującemu sieciowemu uzyskać uprawnienia administracyjne poprzez przekazanie spreparowanych parametrów URL do niezabezpieczonego punktu końcowego działającego jako root. Podatność można wykorzystać wyłącznie przed wdrożeniem urządzenia do Mist/Conductor; po wdrożeniu nie jest już możliwa do wykorzystania.
- CVE-2026-103406Krytyczne
W komponencie AutomatedProvisioner w Juniper Networks Session Smart Conductor występuje podatność niewłaściwej neutralizacji elementów specjalnych w poleceniach systemu operacyjnego. Pozwala ona zdalnemu atakującemu na wykonanie dowolnych poleceń jako root poprzez specjalnie spreparowany identyfikator salt minion ID.
- CVE-2026-44179Krytyczne
Makro `excerpt-include` w XWiki Remote Macros nieprawidłowo escapuje tytuł dołączanej strony i wykonuje treść `excerpt` z uprawnieniami makra. Zarówno obsługa tytułu, jak i renderowanie treści `excerpt` do składni XWiki pozwalają na wstrzyknięcie składni. Każdy użytkownik mogący edytować stronę, nawet bez uprawnień do skryptów, może dostarczyć wykonywalną składnię makra i doprowadzić do zdalnego wykonania kodu przy dołączeniu strony.
- CVE-2026-115968Krytyczne
Podatność deserializacji niezaufanych danych w wtyczce WordPress Ultimate Member umożliwia wstrzyknięcie obiektu (Object Injection). Problem dotyczy wersji do 2.13.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
isomorphic-git before 1.42.0 contains a prototype pollution vulnerability in the getRemoteInfo function that allows a malicious Git server operator to pollute Object.prototype by advertising crafted ref names containing '__proto__' path segments during ref negotiation. Attackers controlling a Git server can advertise a specially crafted ref such as '__proto__/corsProxy' to reroute all subsequent network operations through an attacker-controlled proxy, causing isomorphic-git to invoke the victim's onAuth callback and transmit credentials to the attacker when the victim calls getRemoteInfo with an attacker-supplied URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS