CVE-2026-89309
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Middleware autoryzacyjny WMS MobileServer nie wymaga uwierzytelnienia w dwóch przypadkach: dla żądań innych niż GET i HEAD nie sprawdza nagłówka Authorization, a dla każdej metody żądanie z nieprawidłowym lub nie-bearer nagłówkiem Authorization przechodzi bez wymagania ważnego tokenu. Zdalny atakujący z dostępem sieciowym może wywoływać funkcje API bez ważnych poświadczeń.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do funkcji API i wykonywać operacje, do których wymagane są uprawnienia, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Wdróż poprawkę wymuszającą weryfikację tokenu dla wszystkich metod HTTP oraz odrzucanie żądań z nieprawidłowym lub nie-bearer nagłówkiem Authorization.
Powiązane podatności
- CVE-2026-103904Krytyczne
Publiczny endpoint zgody w JTL-Shop przyjmuje dowolne nazwy zgód od nieuwierzytelnionych odwiedzających bez walidacji względem skonfigurowanych elementów zgody. Nazwy te są zapisywane w statystykach zgód i renderowane bez kodowania wyjściowego w backendzie administracyjnym, co pozwala na wstrzyknięcie kodu skryptowego wykonywanego w przeglądarce administratora.
- CVE-2026-14851Krytyczne
W aplikacji webowej do fakturowania klientów występuje luka polegająca na braku kontroli autoryzacji w punkcie końcowym udostępniającym pliki PDF z fakturami. Powoduje to ujawnienie danych osobowych (PII) i finansowych, takich jak nazwiska, adresy, numery faktur, dane płatności i informacje podatkowe, osobom nieupoważnionym. Niektóre adresy URL dokumentów fakturowania są także publicznie dostępne przez wyszukiwarki, co dodatkowo ułatwia dostęp do poufnych plików.
- CVE-2026-104748Krytyczne
Wtyczka SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications dla WordPressa w wersjach do 3.10.0 włącznie jest podatna na eskalację uprawnień. Akcja AJAX `wp_ajax_nopriv_simpleform_wp_register` nie sprawdza uprawnień do przypisywania ról, a funkcja `save_custom_fields_to_user_meta()` używa listy wykluczeń pomijającej `wp_capabilities`, co w połączeniu z domyślnymi ustawieniami `get_form_settings()` umożliwia nieuwierzytelnionemu atakującemu utworzenie konta administratora WordPressa. Wymagany nonce jest publicznie ujawniany w obiekcie JavaScript `front_end_data` na każdej stronie front-endu, więc każdy niezalogowany odwiedzający może go łatwo pozyskać.
- CVE-2026-89310Krytyczne
Parametr pobierany z treści żądania jest wstawiany do instrukcji T-SQL bez parametryzacji ani escapowania. Umożliwia to zdalnemu atakującemu wykonanie dowolnych instrukcji SQL w kontekście konta bazy danych aplikacji.
- CVE-2026-87855Krytyczne
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-104800Krytyczne
Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-110447Krytyczne
Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.
- CVE-2026-110002Krytyczne
Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The authorization middleware of the WMS MobileServer fails to require authentication in two distinct cases. First, it only requires an Authorization header for GET and HEAD requests; requests using any other HTTP method are processed without an authentication check. Second, for any HTTP method including GET and HEAD, a request carrying a malformed or non-bearer Authorization header is passed through without a valid token being required. The middleware does validate a token whenever a well-formed one is present, but in these two cases it does not require one. A remote attacker with network access to the service can therefore invoke API functionality without valid credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS