CVE-2026-94206
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w bibliotekach cloak_ecto i cloak dotyczy użycia hasha hasła z niewystarczającym nakładem obliczeniowym. Atakujący posiadający zahaszowane wartości i skonfigurowany sekret może znacznie szybciej odgadnąć hasła o niskiej entropii, niż wynika to z konfiguracji.
Ocena ryzyka
Organizacja narażona jest na szybsze odgadnięcie haseł o niskiej entropii, co może prowadzić do nieautoryzowanego dostępu do danych chronionych tymi hasłami.
Rekomendacja
Zaktualizuj cloak_ecto i cloak do wersji, w której poprawiono użycie parametru iteracji w funkcji PBKDF2, oraz rozważ zwiększenie liczby iteracji w konfiguracji.
Powiązane podatności
- CVE-2026-82104Krytyczne
W urządzeniach Teltonika Networks RUTOS (wersje 7.22–7.24.2) oraz TSWOS (wersje 1.9–1.10) istnieje luka pozwalająca nieuwierzytelnionemu użytkownikowi na bezpośrednie wywoływanie funkcji LUA z pominięciem walidacji stosowanych przy normalnych żądaniach API. Ponieważ żądania te nie przechodzą prawidłowych przepływów, może to prowadzić do wykonania poleceń w systemie operacyjnym.
- CVE-2026-103039Krytyczne
Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez pole niestandardowe wpisu typu List. Wartość pola jest przekazywana do globalnej funkcji maybe_unserialize() bez ograniczeń zamiast do utwardzonej GFCommon::maybe_unserialize(), co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć obiekt PHP do metadanych wpisu. Jeśli w innym pluginie lub motywie istnieje łańcuch gadgetów, może to prowadzić do zdalnego wykonania kodu.
- CVE-2023-22793Krytyczne
Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) na serwerach z usługą Veeam Virtualization Extensions w Veeam Management Pack for Microsoft System Center.
- CVE-2026-61707Krytyczne
W SOCFortress CoPilot przed wersją 0.1.76 szablony raportów przesyłane przez użytkownika o najniższych uprawnieniach (customer_user) są później wykonywane przez niesandboxowane silniki Jinja2 podczas generowania raportu przez administratora lub analityka. Brak walidacji treści szablonu oraz brak izolacji między klientami pozwala atakującemu na wstrzyknięcie złośliwych wyrażeń Jinja, które są wykonywane jako kod Python na backendzie.
- CVE-2026-61645Krytyczne
W Docat występuje luka umożliwiająca przesłanie dowolnego pliku przez API Upload, ponieważ interfejs nie waliduje ścieżki ani typu przesyłanego pliku. Atakujący może nadpisać wrażliwe pliki konfiguracyjne lub umieścić złośliwe pliki na serwerze WWW Docat.
- CVE-2026-103093Krytyczne
ServiceNow naprawił podatność ucieczki z piaskownicy w ServiceNow AI Platform. Uwierzytelniony użytkownik z rolą administratora mógł obejść ograniczenia piaskownicy Rhino i wykonać dowolny kod w systemie operacyjnym hosta.
- CVE-2026-118769Krytyczne
W bibliotece kryptograficznej Botan (C++) funkcja C API botan_block_cipher_block_size konwertowała rozmiar bloku typu size_t na int bez sprawdzenia zakresu. W aplikacji przyjmującej zewnętrzne parametry algorytmu i używającej trybu ECB przez FFI atakujący może wybrać szyfr Lion o zmiennym rozmiarze bloku, co prowadzi do obcięcia rozmiaru, zbyt małej alokacji pamięci i uszkodzenia pamięci. Problem naprawiono w wersji 3.13.0.
- CVE-2026-118762Krytyczne
W repozytorium Monkeytype przepływ pracy GitHub Actions fix-formatting.yml uruchamiany na zdarzeniu pull_request_target posiada uprawnienia zapisu do repozytorium, pobiera kod z forka i instaluje zależności z pliku package.json forka, a następnie uruchamia kontrolowany przez forka binarny plik oxfmt. Ponieważ akcja actions/checkout zachowuje podwyższony token GITHUB_TOKEN w konfiguracji Git do momentu wykonania niezaufanego kodu, zewnętrzny współtwórca może wykonać dowolny kod, odczytać lub wykraść token oraz modyfikować zawartość repozytorium, pull requesty i zgłoszenia. Problem dotyczy przepływu CI repozytorium, a nie aplikacji Monkeytype ani danych użytkowników; został naprawiony w wersji 26.43.0.
- CVE-2026-107058Krytyczne
Problem w Shelter (versionCode 445) pozwala atakującym zarejestrować własny auth_key i przejąć usługę binder API oraz stan preferencji innego użytkownika.
- CVE-2026-93680Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Use of Password Hash With Insufficient Computational Effort vulnerability in danielberkompas cloak_ecto and danielberkompas cloak allows an attacker who holds the hashed values and the configured secret to brute-force low-entropy plaintexts much faster than configured. The dump/1 callback that Cloak.Ecto.PBKDF2 (Cloak.Fields.PBKDF2 in cloak before the Ecto code moved to cloak_ecto) injects into a field module calls :pbkdf2.pbkdf2/4 with config[:size] in the iteration-count position. The :iterations setting is validated but never used. With the cloak_ecto defaults (iterations: 600_000, size: 32) each hash runs 32 PBKDF2 rounds instead of 600,000, so offline guessing of values such as email addresses costs about 18,750 times less than configured. This issue affects cloak_ecto: from 1.0.0-alpha.0 onward; cloak: from 0.7.0 before 1.0.0-alpha.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS