CVE-2026-90481

W Termix od wersji 2.4.1 do 2.5.1 uwierzytelniony administrator może zapisać kontrolowane przez atakującego wartości domeny i adresu e-mail przez PATCH /users/acme-ssl-settings, a następnie wywołać ich interpolację do polecenia powłoki certbot przez POST /users/acme-ssl-request. W pliku acme-ssl-routes.ts funkcja child_process.execSync wywołuje /bin/sh -c z tymi wartościami jedynie w cudzysłowach, co pozwala na wykonanie dowolnych poleceń systemowych jako proces backendu Termix. Podatność dotyczy trybów HTTP webroot i DNS Cloudflare challenge, a jej wykorzystanie ujawnia bazy danych Termix, sekrety procesu, przechowywane poświadczenia i dostęp sieciowy. Problem naprawiono w wersji 2.5.1.

W Dokploy przed wersją 0.29.13 procedura tRPC patch.readRepoDirectories przekazuje kontrolowaną przez użytkownika wartość repoPath z pliku patch.ts do polecenia powłoki w patch-repo.ts bez bezpiecznego cytowania argumentów. Uwierzytelniony członek organizacji z uprawnieniem service:read może wstrzyknąć metaznaki powłoki do repoPath i wykonać dowolne polecenia przez child_process.exec jako root w kontenerze Dokploy. Ponieważ standardowe wdrożenie montuje /var/run/docker.sock, wykonanie poleceń jako root w kontenerze może posłużyć do kontroli Dockera i przejęcia hosta oraz zarządzanych aplikacji. Problem naprawiono w wersji 0.29.13.

W OpenStack Zaqar przed wersją 22.0.2 transport WSGI nieprawidłowo obsługuje nagłówek URL-Signature. Wysyłając żądanie z pustym nagłówkiem URL-Signature, nieuwierzytelniony zdalny atakujący znający UUID projektu może ominąć zarówno uwierzytelnianie Keystone, jak i weryfikację wstępnie podpisanych adresów URL, co pozwala na odczyt, wyliczanie, tworzenie i usuwanie kolejek, wiadomości, roszczeń i subskrypcji tego projektu. Dodatkowo, przejmując rolę administracyjną, atakujący może wykonywać operacje administracyjne, takie jak zarządzanie pulami i wariantami we wdrożeniach admin_mode. Podatność dotyczy tylko wdrożeń korzystających z transportu WSGI ze skonfigurowaną strategią uwierzytelniania; transport websocket nie jest podatny.

IBM DataStage w Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej walidacji nagłówka X-Forwarded-Proto.

HFS2 w wersji 2.4.0 i wcześniejszych zawiera podatność na nieuwierzytelniony dostęp do dowolnych plików, która pozwala nieuwierzytelnionym atakującym na odczyt, zapis, dopisywanie i usuwanie plików wszędzie tam, gdzie konto usługi HFS ma dostęp do systemu plików poza folderem udostępnionym. Atakujący mogą wykorzystać brak modelu autoryzacji w dyspozytorze makr w połączeniu z nieograniczaniem ścieżek absolutnych przez resolver ścieżek, aby manipulować silnikiem szablonów i naruszyć poufność, integralność i dostępność hosta.

HFS2 w wersji 2.4.0 i wcześniejszych zawiera podatność na wstrzyknięcie szablonu w obsłudze przesyłania wieloczęściowego, która pozwala nieuwierzytelnionym atakującym na zdalne wykonanie kodu poprzez umieszczenie złośliwej składni szablonu w nazwie pliku. Atakujący może stworzyć nazwę pliku zawierającą zamykającą sekwencję cytowania szablonu, po której następuje makro exec, co omija kontrolę autoryzacji w dyspozytorze i pozwala na wykonanie dowolnych poleceń w systemie hosta.

Podatność nieprawidłowej weryfikacji podpisu kryptograficznego w dashbit nimble_zta pozwala nieuwierzytelnionemu zdalnemu atakującemu na uwierzytelnienie się jako dowolny token usługi Cloudflare. Dotyczy to aplikacji korzystających ze strategii uwierzytelniania Cloudflare Zero Trust. Funkcja verify_token/2 w lib/nimble_zta/cloudflare.ex dopasowuje wynik JOSE.JWT.verify/2 do {_, token, _s}, co odrzuca wynik logiczny weryfikacji i zwraca zdekodowany token po nieudanej weryfikacji podpisu. Atakujący wysyła sfałszowany JWT w nagłówku cf-access-jwt-assertion, zawierający oczekiwane roszczenie iss oraz siedem roszczeń tokenu usługi. verify_iss/2 odczytuje roszczenie iss ze sfałszowanego tokenu, więc niczego nie odrzuca, a ścieżka tokenu usługi zwraca te roszczenia jako uwierzytelnioną tożsamość. Problem dotyczy nimble_zta od wersji 0.1.2 przed 0.1.3.

Velociraptor przechowuje skompilowany VQL w obiekcie hunt wewnętrznie, aby uniknąć ponownej kompilacji artefaktów dla każdego punktu końcowego w polowaniu. Chociaż pole "compiled_collector_args" jest polem wewnętrznym, Velociraptor pozwalał na jego ustawienie z wywołania API użytkownika. Pozwala to innemu użytkownikowi, który może zaplanować polowanie (minimalna rola "investigator"), na ustawienie skompilowanych instrukcji VQL dla polowania z pominięciem kontroli ACL, które normalnie byłyby stosowane. Ta luka może zostać eskalowana, aby pozwolić użytkownikowi "investigator" na uruchamianie dowolnych instrukcji VQL jako użytkownik administracyjny na serwerze Velociraptor.

Wtyczka Visual Composer Website Builder dla WordPressa do wersji 45.16.0 włącznie jest podatna na lokalne dołączanie plików przez parametr `vcv-template`. Niezalogowany atakujący może dołączać i wykonywać dowolne pliki na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.

Podatność Path Traversal w oprogramowaniu DIAEnergie przed wersją 1.11.00.022. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.