CVE-2026-91784

W urządzeniu D-Link DIR-505 w wersji 1.10B02 wykryto podatność w funkcji save_upload_file/mp_upload_file w pliku /usr/bin/tftpd, obsługującej nazwy plików przesyłanych przez TFTP. Manipulacja danymi wejściowymi prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany.

Klasa JavaNativeMessageDecoder w module codec Apache MINA 3.0 wywołuje ObjectInputStream.readObject() na bajtach ramki bez filtra klas. Aplikacja używająca tego dekodera w komunikacji z niezaufanym peerem jest narażona na zdalne wykonanie kodu poprzez łańcuchy gadgetów. Gałąź 3.0.0 jest nieaktywna i nie zostanie dla niej wydana poprawka.

AJ-Report do wersji 1.7.1 podpisuje tokeny udostępniania przy użyciu zaszytego na stałe sekretu JWT, co pozwala atakującym na offline sfałszowanie ważnych Share-Tokenów. Atakujący może wygenerować token z reportCode 'dataSet', aby uzyskać dostęp do endpointu testTransform, który przekazuje skrypty do GroovyClassLoader i umożliwia nieuwierzytelnione zdalne wykonanie kodu.

Jpom w wersjach od 2.10.0 do 2.11.12 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać uprawnienia superadministratora poprzez wstrzyknięcie warunku zapytania do nagłówka JPOM-USER-TOKEN. Atakujący może wysłać wartość taką jak 'is not null', którą parser Condition biblioteki Hutool interpretuje jako operator, a następnie wykonać polecenia za pomocą funkcji skryptowych Jpom.

Wtyczka SimpleForm dla WordPressa (wersje do 3.10.2) jest podatna na dowolne przesyłanie plików przez funkcję handle_upload. Brak listy dozwolonych kluczy plików oraz obejście walidacji rozszerzenia i MIME nazwą pliku z końcową kropką pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Jedyną kontrolą dostępu jest nonce publikowany w atrybucie data-nonce każdego publicznego formularza.

Wtyczka Acadlix LMS dla WordPressa (wersje do 1.1.9) jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji post_delete_assessment_file_by_id. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu kluczowych plików, takich jak wp-config.php. Callback uprawnień weryfikuje jedynie ogólny nonce wp_rest publikowany w obiekcie acadlixOptions na każdej stronie frontendowej, co w praktyce obniża wymóg uwierzytelnienia do nieuwierzytelnionego.

Wtyczka Uncanny Toolkit for LearnDash dla WordPressa (do wersji 3.8.2) zawiera lukę umożliwiającą obejście uwierzytelniania poprzez parametr 'email' w funkcji uo_login_action(). Błąd wynika z różnicy w parsowaniu: weryfikacja konta używa surowego ciągu, a logowanie używa oczyszczonego, co pozwala pominąć kontrolę statusu konta. Umożliwia to nieuwierzytelnionemu atakującemu zalogowanie się na niezweryfikowane lub zawieszone konta, jeśli zna dane logowania.

Wtyczka Project Manager – AI Powered Project Management dla WordPressa (do wersji 4.1.1) jest podatna na zdalne wykonanie kodu poprzez parametr 'id'. Nieoczyszczona wartość parametru jest wstawiana do reguły walidacji, a następnie dzielona i wywoływana jako dynamiczna funkcja PHP bez sprawdzenia dozwolonych wartości. Umożliwia to nieuwierzytelnionemu atakującemu wykonanie kodu na serwerze.

Wtyczka Popup Builder dla WordPressa w wersjach do 4.4.5 włącznie nie weryfikuje uprawnień użytkownika do wykonywania akcji. Nieuwierzytelniony atakujący może jednym żądaniem GET przenieść do kosza wszystkie opublikowane popupy w serwisie, a dodatkowa wada w SGPopup::find() powoduje, że atak dotyczy wszystkich popupów jednocześnie.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.5 włącznie nie sprawdza uprawnień w funkcji wpbs_action_ajax_calendar_remove_note(). Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może usuwać dowolne notatki kalendarza należące do dowolnego kalendarza.