CVE-2026-94038
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W NonceGeek dim-sum-app wykryto podatność typu server-side request forgery w funkcji textSearchV2Handler w pliku deno/main.tsx komponentu Deno Backend. Manipulacja argumentem supabase_url prowadzi do wykonania żądań po stronie serwera, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a poprawka ma nazwę 8389032e5d52c28c4855c6126ca7d0eae8af346a.
Ocena ryzyka
Atakujący może wymusić na serwerze żądania do dowolnych zasobów, co może prowadzić do ujawnienia informacji lub interakcji z usługami wewnętrznymi. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy zastosować poprawkę o identyfikatorze 8389032e5d52c28c4855c6126ca7d0eae8af346a oraz zweryfikować i ograniczyć możliwość manipulacji argumentem supabase_url.
Powiązane podatności
- CVE-2026-116207Krytyczne
YesWiki w wersjach 4.6.0 przed 4.7.0 oraz 5.0.0-alpha1 przed 5.0.0-alpha4 zawiera nieuwierzytelnioną podatność SQL injection w SearchManager::prepareSearchRequest(). Nazwy pól z parametrów query i searchfields publicznego API wyszukiwania wpisów Bazar są umieszczane w aliasie w cudzysłowach odwrotnych, escapowanym jedynie przez mysqli_real_escape_string, co pozwala na wstrzyknięcie podzapytań.
- CVE-2026-115995Krytyczne
Wykryto podatność w Unitree Robotics Unitree Go2 do wersji 1.1.11.4. Funkcja set_volume w pliku gpt_thread.py komponentu chat_go nieprawidłowo przetwarza argument Value, co prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a aktualizacja do wersji 1.1.11.5 rozwiązuje problem.
- CVE-2026-114820Krytyczne
Podatność w komponencie JSSE produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Może być łatwo wykorzystana przez nieuwierzytelnionego atakującego z dostępem sieciowym, prowadząc do nieautoryzowanego dostępu, tworzenia, modyfikacji lub usuwania krytycznych danych. Podatność dotyczy również środowisk Java uruchamiających niezaufany kod w piaskownicy (np. aplety lub aplikacje Java Web Start).
- CVE-2026-115933Krytyczne
Postiz podpisuje tokeny sesji, zaproszeń i resetowania hasła jednym wspólnym sekretem, bez oznaczenia przeznaczenia tokenu. Trasa odświeżająca dane kanału rozszerzenia przeglądarki podpisywała dane pochodzące z samego żądania i zapisywała wynik w miejscu czytelnym dla użytkownika, co pozwalało uzyskać poprawnie podpisany token z dowolnymi roszczeniami akceptowany jako sesja, zaproszenie z wybraną rolą, reset hasła lub token provisioningu enterprise.
- CVE-2026-115557Krytyczne
Moduł "ssl" w Pythonie otrzymał listę blokowanych znanych skompromitowanych certyfikatów, aby zapewnić bezpieczeństwo użytkowników nawet bez skonfigurowanego odwoływania certyfikatów. Znane skompromitowane certyfikaty są automatycznie odrzucane niezależnie od konfiguracji polityki SSLContext.
- CVE-2026-115932Krytyczne
W Postiz ścieżka mediów, która nie jest adresem web, jest traktowana jako plik na dysku serwera bez sprawdzenia, czy znajduje się w katalogu uploadu. Zarejestrowany użytkownik może zapisać spreparowaną ścieżkę przy poście i doprowadzić do odczytu dowolnego pliku oraz wysłania go jako załącznika na kontrolowany przez siebie serwer Discord. Te same nieograniczone odczyty są dostępne przez dwie dodatkowe ścieżki, w tym sprawdzanie istnienia pliku i wyczerpanie pamięci backendu; samodzielna rejestracja jest domyślnie otwarta.
- CVE-2026-94075Krytyczne
Wtyczka WordPress Newsletters (newsletters-lite) do wersji 4.18.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Może to prowadzić do wykonania niepożądanego kodu przez atakującego.
- CVE-2026-114196Krytyczne
Wtyczka WordPress Paytium do wersji 5.0.5 jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Może to pozwolić atakującemu na wykonanie nieautoryzowanych działań.
- CVE-2026-112866Krytyczne
Wtyczka WordPress Product Filter by WBW (woo-product-filter) do wersji 3.4.6 jest podatna na ślepą iniekcję SQL z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
- CVE-2026-111402Krytyczne
Wtyczka WordPress Newsletters (newsletters-lite) do wersji 4.18.1 jest podatna na iniekcję SQL z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie dowolnych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in NonceGeek dim-sum-app. This impacts the function textSearchV2Handler of the file deno/main.tsx of the component Deno Backend. Such manipulation of the argument supabase_url leads to server-side request forgery. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The name of the patch is 8389032e5d52c28c4855c6126ca7d0eae8af346a. It is best practice to apply a patch to resolve this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS