CVE-2026-90894
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Parallels Desktop uruchamia prl_disp_service jako root, a lokalni klienci łączą się z nim przez ogólnodostępny socket /var/run/prl_disp_service.socket. Funkcja PrlSrv_LoginLocal akceptuje poświadczenia bez weryfikacji podpisu Parallels i bez wymogu grupy administracyjnej. Po zalogowaniu PrlSrv_InstallAppliance pozwala wybrać folder urządzenia (sVmParentPath), a demon rozpakowuje go poleceniem tar, w którym cudzysłów w nazwie folderu pozwala na wstrzyknięcie dodatkowych flag tar, w tym --use-compress-program, co umożliwia uruchomienie dowolnego programu jako root.
Ocena ryzyka
Lokalny atakujący może uzyskać wykonanie kodu jako root, co prowadzi do pełnego przejęcia systemu hosta.
Rekomendacja
Zaktualizuj Parallels Desktop do wersji zawierającej poprawkę lub ogranicz dostęp do socketu /var/run/prl_disp_service.socket wyłącznie dla zaufanych użytkowników.
Powiązane podatności
- CVE-2026-109218Krytyczne
Wtyczka Contact Manager dla WordPressa w wersjach do 9.1.2 włącznie jest podatna na dowolne przesyłanie plików przez funkcję add_message. Niekompletna czarna lista rozszerzeń pozwala obejść walidację za pomocą końcowej kropki, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i potencjalne zdalne wykonanie kodu.
- CVE-2026-104383Krytyczne
W usłudze Pigeon MFA w EagleCloud Aquila (wersje do 2.6.7.2, wdrożenia on-premises) występuje niewłaściwa kontrola generowania kodu, co pozwala uwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie kodu.
- CVE-2026-84999Krytyczne
Wtyczka Pie Register Premium dla WordPressa w wersjach do 3.8.4.0 włącznie pozwala na nieograniczone przesyłanie plików przez funkcję piereg_file_upload. Walidacja typu pliku nie sprawdza błędów przed move_uploaded_file(), a handler AJAX nie wymaga nonce ani uprawnień, co umożliwia nieuwierzytelnionym atakującym przesłanie plików PHP i zdalne wykonanie kodu.
- CVE-2026-106013Krytyczne
Wtyczka Jupiter X Core dla WordPressa (do wersji 4.61.0) zawiera obejście uwierzytelniania w obsłudze logowania przez Twitter/X. Funkcja verify_twitter_callback nie przypisuje zwróconego tokenu do klienta TwitterOAuth, przez co kolejne wywołanie API weryfikuje poświadczenia właściciela aplikacji X zamiast logującego się użytkownika, a wtyczka uwierzytelnia konto WordPress na podstawie adresu e-mail tego właściciela.
- CVE-2026-110879Krytyczne
Podatność w jackson-databind polega na tym, że walidacja typu ID sprawdza tylko klasę zewnętrzną, a nie klasy przekazane jako argumenty generyczne. Pozwala to na deserializację niebezpiecznych klas (np. HashMap<FileSystemXmlApplicationContext,String>) mimo włączonego walidatora, co może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji 2.10.0+ oraz 3.0.0+ i jest niekompletną poprawką dla CVE-2026-54512.
- CVE-2026-58256Krytyczne
W aplikacji GRR przed wersją 4.5.0 administrator może wstrzyknąć złośliwy kod PHP poprzez parametry konfiguracji łącznika LDAP, takie jak `ldap_filter`, zatruwając plik `/personnalisation/config_ldap.inc.php` i umożliwiając zdalne wykonanie kodu. Wymagane jest wcześniejsze pomyślne połączenie z serwerem LDAP, który może być kontrolowany przez atakującego, a następnie przesłanie złośliwych danych na stronie ustawień łącznika.
- CVE-2026-116692Krytyczne
W MLflow w wersjach od 3.12.0rc0 do 3.17.0 deserializacja scorerów zewnętrznych w mlflow/genai/scorers/base.py akceptuje klasy potomne modułów z listy dozwolonych zamiast wymagać dokładnie dozwolonego modułu. Atakujący może umieścić moduł Pythona w zapisywalnym pakiecie dozwolonym i wywołać go przez endpoint /ajax-api/3.0/mlflow/scorer/invoke, co prowadzi do wykonania kodu. Wersja 3.17.0 naprawia problem.
- CVE-2026-112352Krytyczne
Sunhillo SureLine przed wersją 9.1.5 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionemu zdalnemu atakującemu podszyć się pod dowolnego użytkownika z aktywną sesją webową poprzez sfałszowanie ciasteczka sesji zawierającego jedynie nazwę użytkownika w postaci jawnej, bez losowego identyfikatora ani ochrony integralności. Atakujący może odgadnąć domyślne nazwy kont, takie jak Admin lub sftp_user, i przesłać sfałszowane ciasteczko z nazwą użytkownika, aby przejść kontrolę logowania w checkLogin (libwebcmn.so) i networkDiag.cgi, co prowadzi do wykonania poleceń jako root.
- CVE-2026-48360Krytyczne
Adobe Connect zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja wymaga interakcji użytkownika — ofiara musi odwiedzić złośliwie spreparowany URL lub wejść w interakcję ze zainfekowaną stroną internetową. Zakres podatności jest zmieniony (scope changed).
- CVE-2026-114595Krytyczne
W EPICS Base w wersji 7.0.10 i wcześniejszych przepełnienie liczb całkowitych podczas przetwarzania żądań sieciowych może powodować alokację pamięci o nieprawidłowym rozmiarze. Dalsze przetwarzanie danych dostarczonych przez atakującego może prowadzić do uszkodzenia pamięci, odmowy usługi lub potencjalnego zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Parallels Desktop runs prl_disp_service as root. Local clients reach it on the world-writable socket /var/run/prl_disp_service.socket. PrlSrv_LoginLocal accepts peer credentials. No Parallels signature. No admin group. After login, PrlSrv_InstallAppliance lets you pick the appliance folder (sVmParentPath). The daemon unpacks with one string, tar -xf "%1" -C "%2", then Qt QProcess::splitCommand chops that string into words. A quote in the folder name closes early. The leftover text becomes extra tar flags. macOS tar --use-compress-program= runs the named program as root.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS