CVE-2001-0330
WysokieStreszczenie
Bugzilla w wersji 2.10 umożliwia zdalnym atakującym dostęp do wrażliwych informacji, takich jak nazwa użytkownika i hasło do bazy danych, poprzez żądanie HTTP do pliku globals.pl, który jest normalnie zwracany przez serwer WWW bez wykonania.
Ocena ryzyka
Dostęp do wrażliwych danych może prowadzić do kompromitacji systemu oraz nieautoryzowanego dostępu do bazy danych, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się zabezpieczenie pliku globals.pl przed dostępem zdalnym oraz aktualizację Bugzilli do najnowszej wersji, aby zminimalizować ryzyko.
Powiązane podatności
- CVE-2026-121802Krytyczne
Biblioteka @better-auth/expo w wersji przed 1.7.16 podpisuje wartość state dostarczoną przez wywołującego bez weryfikacji, czy została ona wydana przez serwer. Umożliwia to atakującemu osiągnięcie przejęcia konta, np. nieuwierzytelnioną zmianę adresu e-mail dowolnego konta.
- CVE-2026-121615Krytyczne
W urządzeniu Linksys E5600 1.1.0.26 w pliku /cgi-bin/mesh_login.cgi (obsługa logowania) występuje luka pozwalająca na niewłaściwe uwierzytelnienie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2026-121609Krytyczne
W routerze Qihoo 360 Whole Home Router M5 w wersji 4.0.17.1566 wykryto podatność w skrypcie startowym /etc/init.d/mpt (funkcja Home). Problem polega na użyciu zaszytych na stałe danych uwierzytelniających. Exploit jest publicznie dostępny i może zostać wykorzystany zdalnie.
- CVE-2026-121607Krytyczne
W urządzeniach Qihoo 360 D603-2, D600-2, D606-6 i D706 do wersji 6.4.9 wykryto podatność w funkcji testspeed_command pliku /fs2/bin/iscm. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-121606Krytyczne
W urządzeniach Qihoo 360 (modele D621-2, D603-2, D600-2, D619, D606-6 i D706 do wersji 6.4.9) wykryto podatność w funkcji verify_sign pliku fs2/bin/iscm odpowiedzialnej za weryfikację podpisów firmware. Manipulacja argumentem sign prowadzi do nieprawidłowej weryfikacji podpisu kryptograficznego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-121600Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcji setMacFilterRules pliku /cgi-bin/cstecgi.cgi obsługującej filtr MAC. Manipulacja argumentem addEffect powoduje przepełnienie bufora na stosie. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121599Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcjach setWiFiMultipleConfig/delWiFiMultipleConfig pliku /cgi-bin/cstecgi.cgi obsługujących konfigurację Multi-SSID. Manipulacja argumentami wepkey2/wepkey3 powoduje przepełnienie bufora na stosie. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121598Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcji strcpy pliku /cgi-bin/cstecgi.cgi obsługującej podstawową konfigurację sieci bezprzewodowej. Manipulacja argumentem wepkey prowadzi do przepełnienia bufora na stosie. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-92190Krytyczne
W Quest Foglight for Databases występuje luka w mechanizmie deserializacji niezaufanych danych w komponencie baseRmiServiceExporter. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
- CVE-2026-92189Krytyczne
W Quest Foglight for Databases metoda writeTopologySectionToFile nie waliduje ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Bugzilla 2.10 allows remote attackers to access sensitive information, including the database username and password, via an HTTP request for the globals.pl file, which is normally returned by the web server without being executed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS