Katalog podatności CVE

Wada polegająca na wstrzykiwaniu poleceń systemu operacyjnego w funkcji set_hostname_internal w NooBaa's cluster_internal_api. Ten komponent odpowiada za zarządzanie Multi-Cloud Object Gateway w OpenShift Data Foundation. Podatność wynika z przekazywania parametru hostname bezpośrednio do polecenia powłoki bez odpowiedniej sanityzacji. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może podać specjalnie spreparowany hostname zawierający metaznaki powłoki, aby wykonać dowolne polecenia na systemie z uprawnieniami procesu NooBaa.

Moduł smart home mH-DEVELOPER jest podatny na atak Denial of Service z powodu niekontrolowanego zużycia zasobów. Express bodyParser jest skonfigurowany z limitem 250 MB dla ciał żądań JSON i URL-encoded, co pozwala uwierzytelnionemu atakującemu w sieci LAN wysyłać duże żądania wyczerpujące pamięć RAM i powodujące awarię procesu fh-node. Ze względu na CVE-2026-82930 wszystkie endpointy mogą być odpytywane bez uwierzytelnienia, więc każdy użytkownik LAN może przeprowadzić ten atak.

Moduł smart home mH-DEVELOPER dostarczany jest z przestarzałym, niewspieranym systemem Debian 8 i środowiskiem Node.js v17.0.1 w firmware produkcyjnym. Naraża to urządzenie na publicznie znane podatności, które nie otrzymają poprawek bezpieczeństwa. Atakujący może wykorzystać te znane luki do wykonania dowolnego kodu, dostępu do danych wrażliwych lub wywołania odmowy usługi.

Moduł smart home mH-DEVELOPER przesyła interfejs webowy i ruch API przez niezaszyfrowany HTTP. Hasła, tokeny uwierzytelniające i polecenia urządzenia są przesyłane jawnym tekstem. Atakujący w tej samej sieci może przechwycić ten ruch, ukraść poświadczenia i tokeny oraz przejąć sesje.

Moduł smart home mH-DEVELOPER nie ładuje żadnych reguł zapory sieciowej przy starcie. Pozostawia to wszystkie nasłuchujące usługi, w tym SSH, HTTP, WebSocket i Node-RED, całkowicie wystawione w sieci LAN bez kontroli dostępu. Każdy klient w tej samej sieci może uzyskać dostęp do każdej usługi.

Moduł smart home mH-DEVELOPER nie weryfikuje tokenów w oprogramowaniu pośredniczącym autoryzacji, pozostawiając wszystkie endpointy HTTP API i WebSocket dostępne bez uwierzytelnienia. Nieuwierzytelniony atakujący w sieci LAN może odpytywać te endpointy, uzyskiwać informacje o systemie i wysyłać surowe polecenia sterujące do manipulowania urządzeniami automatyki budynkowej.

Moduł smart home mH-DEVELOPER używa tych samych, zakodowanych na stałe kluczy hosta SSH w każdym urządzeniu, bez generowania kluczy dla poszczególnych urządzeń. Atakujący, który wyodrębni te klucze z firmware, może skonfigurować fałszywy serwer SSH, któremu klienci zaufają bez ostrzeżenia, umożliwiając ataki man-in-the-middle i przechwytywanie poświadczeń.

Moduł inteligentnego domu mH-DEVELOPER zawiera zakodowany na stałe publiczny klucz SSH w /root/.ssh/authorized_keys, który może służyć jako backdoor. Demon SSH umożliwia logowanie roota przez uwierzytelnianie kluczem i uruchamia się automatycznie. Atakujący z pasującym kluczem prywatnym może uzyskać powłokę roota na każdym dotkniętym urządzeniu, co prowadzi do całkowitego przejęcia systemu. Klucz nie może zostać usunięty bez ponownego zamontowania systemu plików i przetrwa reset do ustawień fabrycznych. Producent zauważa, że funkcja ta była używana wyłącznie do celów serwisowych. Problem został naprawiony w wersji 3.0.30.

W Enocta Platform (Enocta Educational Technologies Inc.) występuje podatność typu cross-site scripting (XSS) wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność pozwala na ataki XSS wymierzone w atrybuty HTML. Problem dotyczy Enocta Platform do 2026-09-28.

Podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika w platformie Enocta firmy Enocta Educational Technologies Inc. Pozwala na wykorzystanie zaufanych identyfikatorów. Problem dotyczy wersji do 2026-09-28.

Zscaler MCP Server w wersjach 0.7.0 i 0.7.1 ma problem, w którym tokeny potwierdzenia HMAC nie były powiązane z identyfikatorem zasobu docelowego, co pozwalało klientowi lub agentowi MCP na powtórzenie tokenu wygenerowanego dla jednego zasobu w celu wpłynięcia na inny zasób tego samego typu. Problem został naprawiony w wersji 0.7.2.

Router Kaon AR2140X nieprawidłowo wysyła ciasteczka sesyjne w odpowiedziach na nieuwierzytelnione żądania HTTP. Umożliwia to zdalnemu atakującemu uzyskanie ważnego identyfikatora sesji bez podawania danych uwierzytelniających, co prowadzi do obejścia uwierzytelniania. Z tym dostępem atakujący może wykonywać nieautoryzowane działania w funkcjach związanych z aktualizacją, w tym wymuszać na routerze wysyłanie żądań GET do dowolnie wybranych domen.

Router Kaon AR2140X zawiera podatność, w której funkcja tworzenia kopii zapasowej jest dostępna bez uwierzytelnienia. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu na wywołanie kopii zapasowej konfiguracji i pobranie jej w formie zaszyfrowanej kluczem specyficznym dla urządzenia. Wywołanie tej funkcji czyni router nieoperacyjnym na znaczny okres czasu. Problem dotyczy wersji firmware do 4.2.17. Status nowszych wersji pozostaje nieznany.

Błąd walidacji pochodzenia (Origin Validation Error) w oprogramowaniu pośredniczącym pakietu npm connect-xcors pozwala atakującemu obejść weryfikację pochodzenia i wykonać uwierzytelnione żądanie międzydomenowe. Może to prowadzić do nieautoryzowanego dostępu do chronionych zasobów w kontekście zalogowanego użytkownika.

Zohocorp ManageEngine DDI Central w wersjach przed 6201 ma niewystarczającą kontrolę dostępu w punkcie końcowym HA failover. Umożliwia to przeprowadzanie destrukcyjnych operacji na bazie danych PostgreSQL.

Apache ActiveMQ Artemis przed 2.34.0 zawiera lukę unsafe reflection w metodzie FederationStreamConnectMessage.getFederationPolicy(). Uwierzytelniony peer federacji może wysłać pakiet FEDERATION_DOWNSTREAM_CONNECT ze spreparowaną nazwą klasy, powodując załadowanie i utworzenie dowolnych klas widocznych dla classloadera modułu Artemis.

W dbgate do wersji 7.3.1 wykryto podatność w funkcji exportModelSql w pliku packages/api/src/controllers/databaseConnections.js (komponent Export Handler). Manipulacja argumentem outputFile prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany.

W dbgate do wersji 7.3.1 wykryto lukę w funkcji zipJsonLinesData w pliku packages/api/src/utility/zipJsonLinesData.js (komponent Create Connection Endpoint). Manipulacja argumentem filePath prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.

W dbgate do wersji 6.8.1/7.0.2/7.1.8/7.2.5/7.3.1 wykryto lukę w funkcji saveUploadedFile w pliku files.js komponentu save-uploaded-file Endpoint. Manipulacja argumentami filePath/fileName prowadzi do path traversal.

W dbgate do wersji 7.3.1 wykryto lukę w funkcji createLink w pliku packages/api/src/controllers/archive.js komponentu Archive Link Creation. Manipulacja argumentem linkedFolder prowadzi do path traversal.