CVE-2026-92357
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność w projekcie a2ui-project a2ui w wersjach 0.8/0.9/1.0. Dotyczy ona nieznanej funkcji w pliku model-processor.ts komponentu Model Processor. Manipulacja argumentem current[segment] prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Identyfikator poprawki to 1b3bff234661ce922cbc3771be642b23ec9fd0fa. Aby naprawić ten problem, zaleca się wdrożenie poprawki.
Ocena ryzyka
Ryzyko ujawnienia poufnych informacji zdalnemu atakującemu, co może prowadzić do naruszenia danych.
Rekomendacja
Zastosuj dostępną poprawkę (identyfikator 1b3bff234661ce922cbc3771be642b23ec9fd0fa) lub zaktualizuj do wersji, która zawiera poprawkę.
Inne podatności w a2ui
Zobacz wszystkie- CVE-2026-92356Średnie
Wykryto podatność w projekcie a2ui-project a2ui w wersjach 0.9/0.9.1. Problem dotyczy funkcji updateComponents w pliku basic_functions.ts komponentu Update Components. Wykonanie manipulacji może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-27548Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzyknięcie komend w punkcie końcowym /index.php/ajax/get_iodd_port_info, używając poświadczeń użytkownika lub operatora, co pozwala na wykonanie komend z uprawnieniami roota na urządzeniu.
- CVE-2026-27547Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzyknięcie komend w punkcie końcowym /index.php/ajax/get_iodd_menu_info, używając poświadczeń użytkownika lub operatora, co pozwala na wykonanie komend z uprawnieniami roota na urządzeniu.
- CVE-2026-92217Średnie
W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji processMessages w pliku renderers/web_core/src/v0_9/processing/message-processor.ts w komponencie Message Parsing. Manipulacja prowadzi do dynamicznie określanych atrybutów obiektu. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-92216Średnie
W a2ui-project a2ui do wersji 0.10.7 wykryto podatność w funkcji openUrl w pliku renderers/web_core/src/v0_9/rendering/generic-binder.ts w komponencie Binder. Manipulacja prowadzi do otwartego przekierowania. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-92215Wysokie
W projekcie a2ui (do wersji 0.10.7) wykryto podatność w funkcji httpx.get w pliku file_resolver.py komponentu FileResolver. Manipulacja danymi wejściowymi prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a poprawka została oznaczona identyfikatorem 2bb8423060308bbdea8ba468dabed4fc256d18ea.
- CVE-2026-92214Niskie
W a2ui-project a2ui do wersji 0.10.7 wykryto lukę w nieznanej funkcji pliku samples/community/client/angular/projects/a2a-chat-canvas/src/lib/services/sanitizer-markdown-renderer-service.ts w komponencie a2a-chat-canvas. Manipulacja może prowadzić do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.
- CVE-2026-92213Średnie
W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji z.any w pliku renderers/web_core/src/v0_9/schema/server-to-client.ts w komponencie Angular Renderer. Manipulacja argumentem primaryColor prowadzi do wstrzyknięcia. Atak można przeprowadzić zdalnie. Poprawka została nazwana fb8e85aec78d04e81feb9992a57638ca1ec4dc1b i zaleca się jej zainstalowanie.
- CVE-2026-92114Średnie
W projekcie a2ui w wersji do 0.10.6 wykryto podatność w nieznanej funkcji pliku renderers/web_core/src/v0_9/basic_catalog/functions/safe_regex.ts w komponencie Basic Catalog. Manipulacja prowadzi do nieefektywnej złożoności wyrażeń regularnych, a atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in a2ui-project a2ui 0.8/0.9/1.0. Impacted is an unknown function of the file model-processor.ts of the component Model Processor. The manipulation of the argument current[segment] leads to information disclosure. The attack may be initiated remotely. The identifier of the patch is 1b3bff234661ce922cbc3771be642b23ec9fd0fa. To fix this issue, it is recommended to deploy a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS