CVE-2020-37282
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 89 - wyżej niż 89% wszystkich znanych CVE
Streszczenie
Biblioteka office-converter do wersji 1.0.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać spreparowaną nazwę pliku fileName do funkcji generatePdf() lub generateHtml(), osadzając $(...), backticki lub zamykający cudzysłów z metaznakami powłoki w nazwie pliku, która jest łączona z poleceniem unoconv uruchamianym przez child_process.exec(), co pozwala na wykonanie poleceń z uprawnieniami procesu Node.js.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w kontekście aplikacji Node.js, co może prowadzić do przejęcia serwera, kradzieży danych lub dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj bibliotekę office-converter do wersji nowszej niż 1.0.2 lub zastosuj walidację i sanityzację nazwy pliku fileName przed przekazaniem do funkcji generatePdf() i generateHtml().
Powiązane podatności
- CVE-2026-82418Krytyczne
IBM Watson Speech Services Cartridge w wersjach od 4.0.0 do 5.4.0 zawiera podatność use-after-free, która może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-122013Krytyczne
W urządzeniu Comfast CF-WR632AX 2.6.0.1 wykryto podatność w nieznanej funkcjonalności pliku /usr/bin/webmgnt w komponencie Multipart Parser. Manipulacja argumentem filename prowadzi do path traversal, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-71457Krytyczne
vtenext 25.02 przed 25.02.1 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zmienić hasło dowolnego konta przez hub/rpwd.php bez weryfikacji tokenu. Atakujący znający prawidłową nazwę użytkownika może wysłać action=change_password do RecoverPwd::displayChangePwd() i zalogować się jako administrator bez uwierzytelniania dwuskładnikowego.
- CVE-2026-121933Krytyczne
W urządzeniu Linksys E5350 w wersji 1.0.00.037 wykryto lukę w funkcji save_settings w pliku /wizard/apply.cgi komponentu Setup Wizard. Manipulacja argumentem wizard_router_pwd może prowadzić do braku uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.
- CVE-2026-113373Krytyczne
Sonatype Nexus Repository 3 Pro nie sprawdza statusu konta lokalnego, gdy użytkownik loguje się przez skonfigurowanego dostawcę tożsamości SAML lub OAuth2/OpenID Connect. Użytkownik, którego konto zostało wyłączone lub zablokowane przez administratora w Nexus Repository, może zalogować się ponownie przy użyciu ważnych poświadczeń dostawcy tożsamości dla tego samego konta i otrzymać nową sesję z rolami tego konta.
- CVE-2026-122120Krytyczne
W wtyczkach Yealink w wersjach przed 2.35.219.0 występuje podatność nieautoryzowanego zapisu plików w określonych scenariuszach. Może ona zostać wykorzystana przez atakującego do zdalnego wykonania kodu.
- CVE-2026-121932Krytyczne
W urządzeniu Linksys E5350 1.0.00.037 funkcja system w pliku /wizard/apply.cgi nieprawidłowo obsługuje argument ping_ip/traceroute_ip, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121931Krytyczne
W Linksys WRT54GL 4.30.18 funkcja system w pliku apply.cgi (komponent Traceroute Diagnostic) nieprawidłowo obsługuje argument traceroute_ip, co umożliwia wstrzyknięcie poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-121930Krytyczne
W Linksys WRT54GL 4.30.18 funkcja system w pliku apply.cgi (komponent Ping Diagnostic) nieprawidłowo obsługuje argument ping_ip, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-113780Krytyczne
W ESP-IDF (framework IoT Espressif) w wersjach od 5.5.5 do 5.5.6, 6.0.4 i 6.1.1 wpis pułapki esp_tee zapisuje ramkę rejestrów kontrolowaną przez wywołującego przez wskaźnik stosu dostarczony przez REE, zanim przełączy się na zaufany stos TEE lub zweryfikuje wskaźnik. Lokalna nieuprzywilejowana aplikacja REE może skierować ten zapis w trybie maszynowym do pamięci wyłącznej TEE na układach ESP32-C5, ESP32-C6, ESP32-C61 i ESP32-H2, naruszając granicę izolacji REE/TEE.
Oryginalny opis (angielski, źródło NVD)
office-converter through 1.0.2 contains an OS command injection vulnerability that allows attackers to execute commands by supplying a crafted fileName to generatePdf() or generateHtml(). Attackers can embed $(...), backticks, or a closing quote with shell metacharacters in the file name, which is concatenated into an unoconv command run via child_process.exec(), executing commands with Node.js process privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS