CVE-2026-9291

Velociraptor pozwala ograniczać dostęp do wrażliwych artefaktów poprzez dodatkowe uprawnienia, np. artefakt Linux.Sys.BashShell wymaga uprawnienia EXECVE. Jednak dla artefaktów monitoringu klienta nie zaimplementowano takiej kontroli ani wymogu typu CLIENT_EVENTS. Umożliwia to każdemu użytkownikowi mogącemu planować artefakty monitoringu klienta zaplanowanie również artefaktów w inny sposób ograniczonych.

Wtyczka Drag and Drop File Upload for Elementor Forms dla WordPressa (wszystkie wersje do 1.6.0 włącznie) jest podatna na dowolne przesyłanie plików przez funkcję elementor_file_upload. Powodem jest niewystarczająca walidacja typu pliku w is_file_type_valid(), która używa parametru 'type' kontrolowanego przez atakującego jako kluczy regex w allowliście MIME, co pozwala obejść blacklistę. Umożliwia to nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.

W urządzeniu Pavlok Behavioral Conditioning Wearable (do wersji 20260707) wykryto podatność w nieznanej funkcji komponentu Apple Notification Center Service Event Handler. Manipulacja prowadzi do przepełnienia bufora, a atak musi być przeprowadzony z lokalnej sieci. Producent został powiadomiony, ale nie odpowiedział.

Pandora zawiera podatność na przechodzenie po ścieżkach w mechanizmie rozpakowywania archiwów. Podczas przetwarzania specjalnie spreparowanego archiwum lub obrazu dysku, ścieżki plików kontrolowane przez atakującego mogą być używane bez zapewnienia, że wynikowy cel pozostanie w zamierzonym katalogu ekstrakcji. Atakujący, który może przesłać złośliwy plik do analizy, może użyć sekwencji przechodzenia po ścieżkach, aby zapisać wyodrębnione treści poza wyznaczonym katalogiem, potencjalnie nadpisując pliki dostępne dla procesu Pandora.

Słabość polegająca na wstrzyknięciu poleceń systemu operacyjnego w mechanizmie wymuszania trybu tylko do odczytu w komponencie walidacji SQL w amazon awslabs postgres-mcp-server przed wersją 1.1.7 może pozwolić nieuwierzytelnionemu aktorowi na wykonanie poleceń systemu operacyjnego na hoście samodzielnie zarządzanego serwera PostgreSQL poprzez umieszczenie spreparowanego polecenia COPY ... TO PROGRAM w treści przetwarzanej, gdy uwierzytelniony użytkownik wchodzi w interakcję z serwerem MCP w domyślnym trybie tylko do odczytu.

SkillTree przed wersją 4.4.2 zawiera podatność XSS wynikającą z połączenia dwóch błędów: braku kodowania HTML w StringHighlighter.js oraz użycia v-html w HighlightedValue.vue. Atakujący może zarejestrować konto z złośliwym polem firstName/lastName/nickname, a po otwarciu strony Quiz Runs przez administratora, payload wykonuje się w jego przeglądarce. Istnieją trzy ścieżki ataku o rosnącym wpływie: podstawowy XSS, zdalne ładowanie skryptów przez import() oraz kradzież tokenów CSRF.

MaxSite CMS do wersji 109.6 zawiera na stałe zaszyty klucz szyfrowania sesji w pliku application/config/config.php, który nie jest zmieniany podczas instalacji. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie ciasteczek sesji administratora poprzez obliczenie HMAC-SHA1 z publicznie znanym kluczem, omijając kontrolę uwierzytelniania w funkcjach is_login() i mso_check_allow().

MantisBT w wersjach 2.28.3 i wcześniejszych zawiera krytyczną podatność obejścia uwierzytelniania w funkcji mci_check_login() w API SOAP. Każdy użytkownik znający ważny cookie_string może uwierzytelnić się jako dowolny inny użytkownik (znając jego nazwę), w tym administrator, bez znajomości hasła ofiary. Podatność jest wykorzystywalna bez wcześniejszego dostępu w domyślnych instalacjach, ponieważ samorejestracja jest domyślnie włączona.

Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Funkcje administracyjne nie weryfikują poprawnie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na tworzenie kont administratora i uzyskiwanie podwyższonych uprawnień.

Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Niewystarczające sprawdzanie uprawnień na poziomie dzierżawy (tenant) pozwala uwierzytelnionym użytkownikom na dostęp do zasobów administracyjnych należących do innych dzierżawców poprzez podanie ważnego, nieprzewidywalnego identyfikatora dzierżawy.