CVE-2026-93547
ŚrednieCVSS 5.3Streszczenie
Brak kontroli autoryzacji w komponencie Vaadin Spreadsheet pozwala uwierzytelnionemu użytkownikowi aplikacji wyświetlającej arkusz kalkulacyjny dodawać lub zastępować komentarze w komórkach na chronionym arkuszu, w tym w komórkach zablokowanych. Zapis komentarza do nieistniejącej komórki powoduje również utworzenie wiersza i komórki.
Ocena ryzyka
Użytkownik z ważnym kontem może modyfikować zawartość chronionych arkuszy poprzez dodawanie komentarzy, co narusza integralność danych i obejście mechanizmów ochrony arkusza. Może to prowadzić do nieautoryzowanych zmian w dokumentach biznesowych.
Rekomendacja
Zaktualizuj Vaadin do wersji 23.6.14, 24.9.22, 24.10.10, 25.1.12, 25.2.7 lub nowszej, a dodatek Spreadsheet do wersji 3.1.1. Jeśli używasz nieobsługiwanych wersji 10-13 lub 15-22, przejdź na najnowszą wersję 23, 24 lub 25.
Powiązane podatności
- CVE-2026-120277Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcji sub_41a1d8 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-120276Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) zidentyfikowano słabość w funkcji sub_416760 pliku /bin/ioos, w komponencie interfejsu zarządzania webowego. Manipulacja argumentem group_name powoduje wstrzyknięcie poleceń systemowych (OS command injection). Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-120240Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_41A748 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120239Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_419DA8 pliku /bin/ioos, w komponencie obsługi CLI WireGuard. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120238Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_4162A8 pliku /bin/ioos, w komponencie obsługi plików ovpn_file. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-62048Krytyczne
Wtyczka BookIt (Liquid Web / StellarWP) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji do 2.6.0.6 włącznie.
- CVE-2026-120338Krytyczne
Sandbox Generative UI w prefab-ui uruchamia kod Python w Pyodide (WebAssembly) w podprocesie Deno, ale od wersji 0.14.0 do 0.20.2 proces Deno startuje z nieograniczonymi uprawnieniami --allow-read, --allow-write i --allow-net, a API Deno pozostaje dostępne w globalnym obiekcie JavaScript. Umożliwia to kodowi Python wywoływanie Deno.readTextFileSync i Deno.writeTextFileSync, czyli odczyt i zapis plików jako użytkownik systemu serwera oraz trwałe wykonanie kodu przez zapis pliku .pth w site-packages.
- CVE-2026-120231Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_416568 pliku /bin/ioos, obsługującej interfejs CLI OpenVPN. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120230Krytyczne
W urządzeniu WAVLINK WN701AE (wersja 260105) wykryto podatność w funkcji del_vlan_group komponentu ioos Web Backend. Manipulacja argumentem vlan_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-120229Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_416B50 pliku /bin/ioos. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A missing authorization check in the Vaadin Spreadsheet component allows an authenticated user of an application that renders a spreadsheet to add or replace cell comments on a sheet that has protection enabled, including on cells that are locked. Writing a comment to a cell that does not exist yet also creates the row and the cell. Users of affected versions should apply the following mitigation or upgrade. Releases that have fixed this issue include: Product version Vaadin 23.1.0 - 23.6.13 Vaadin 24.0.0 - 24.9.21 Vaadin 24.10.0 - 24.10.9 Vaadin 25.0.0 - 25.1.11 Vaadin 25.2.0 - 25.2.6 Vaadin Framework 7 and 8 with the Spreadsheet add-on 2.0.0 - 3.1.0 Mitigation Upgrade to 23.6.14 Upgrade to 24.9.22 Upgrade to 24.10.10 Upgrade to 25.1.12 Upgrade to 25.2.7 or newer Upgrade the Spreadsheet add-on to 3.1.1 Please note that Vaadin versions 10-13 and 15-22 are no longer supported and you should update either to the latest 23, 24, 25 version. Artifacts Maven coordinates Vulnerable versions Fixed version com.vaadin:vaadin 23.1.0 - 23.6.13 >=23.6.14 com.vaadin:vaadin 24.0.0 - 24.9.21 >=24.9.22 com.vaadin:vaadin 24.10.0 - 24.10.9 >=24.10.10 com.vaadin:vaadin 25.0.0 - 25.1.11 >=25.1.12 com.vaadin:vaadin 25.2.0 - 25.2.6 >=25.2.7 com.vaadin:vaadin-spreadsheet-flow 23.1.0 - 23.6.13 >=23.6.14 com.vaadin:vaadin-spreadsheet-flow 24.0.0 - 24.9.21 >=24.9.22 com.vaadin:vaadin-spreadsheet-flow 24.10.0 - 24.10.9 >=24.10.10 com.vaadin:vaadin-spreadsheet-flow 25.0.0 - 25.1.11 >=25.1.12 com.vaadin:vaadin-spreadsheet-flow 25.2.0 - 25.2.6 >=25.2.7 com.vaadin:vaadin-spreadsheet 2.0.0 - 3.1.0 >=3.1.1
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS