CVE-2024-45414
KrytyczneStreszczenie
Wielokrotne routery ZTE mają podatność na przepełnienie bufora na stosie w funkcji webPrivateDecrypt w binarnym pliku HTTPD. Funkcja ta odpowiada za deszyfrowanie zaszyfrowanych danych RSA, które są dostarczane w formacie base64, a zdekodowane dane są przechowywane na stosie bez sprawdzania ich długości.
Ocena ryzyka
Nieautoryzowany atakujący może uzyskać zdalne wykonanie kodu (RCE) z uprawnieniami roota, co stwarza poważne zagrożenie dla bezpieczeństwa systemów korzystających z tych routerów.
Rekomendacja
Zaleca się aktualizację oprogramowania routerów ZTE do najnowszej wersji, która eliminuje tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, aby ograniczyć dostęp do interfejsu administracyjnego.
Powiązane podatności
- CVE-2026-114630Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji factory_reset we wszystkich wersjach do 3.3.8 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Podatność jest wykorzystywana w dwuetapowym łańcuchu: najpierw zapisanie wartości ticket_attachment_path przez publiczny endpoint AJAX, a następnie wywołanie resetu fabrycznego przez żądanie GET.
- CVE-2026-107622Krytyczne
Wtyczka BuddyForms dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 2.10.5 włącznie poprzez atak mylenia typu formularza przez parametr bf_post_type. Nieuwierzytelniony atakujący może wstawić złośliwą konfigurację formularza z kontrolowaną wartością new_user_role do globalnego rejestru formularzy, a następnie zarejestrować konto z uprawnieniami administratora. Wymaga to włączonej opcji "Każdy może się zarejestrować" i co najmniej jednego publicznego formularza BuddyForms.
- CVE-2026-123294Krytyczne
W JetBrains Hub przed wersją 2026.2.52556 możliwe było podniesienie uprawnień poprzez zmianę danych uwierzytelniania e-mail w trakcie procesu weryfikacji.
- CVE-2026-123279Krytyczne
W JetBrains Datalore przed wersją 2026.4 możliwe było wykonanie kodu w obliczeniach notebooka przez współpracowników z uprawnieniami tylko do odczytu.
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
- CVE-2026-120844Krytyczne
Wtyczka miniOrange OAuth Single Sign On – SSO (OAuth Client) do wersji 7.1.3 zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień.
- CVE-2026-119516Krytyczne
Wtyczka Radius Booking — Booking Calendar for Appointments & Services do wersji 1.0.20 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu.
- CVE-2026-118423Krytyczne
Wtyczka WordPress WP Libre Form w wersji 1.5.0.1 nie weryfikuje typu plików przesyłanych przez formularze, co pozwala nieuwierzytelnionym atakującym przesłać pliki PHP do lokalizacji dostępnej przez sieć i je wykonać, prowadząc do zdalnego wykonania kodu.
- CVE-2026-83493Krytyczne
W distributed-workloads luka w workflow pull_request_target pozwala zdalnemu atakującemu przesłać spreparowany pull request. Workflow przetwarza niezaufany kod autora PR, działając z wrażliwymi sekretami repozytorium bazowego, takimi jak SNYK_TOKEN, oraz domyślnym tokenem zapisu. Atakujący może wykraść te sekrety, uzyskując nieautoryzowany dostęp do integracji Snyk i potencjalną kontrolę nad repozytorium.
- CVE-2026-116533Krytyczne
Wtyczka WordPress Static Snapshot do wersji 0.2.1 włącznie nie sanityzuje metaznaków powłoki w wartości dostarczonej przez użytkownika przed dołączeniem jej do poleceń systemu operacyjnego wykonywanych przez serwer. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych poleceń na hoście.
Oryginalny opis (angielski, źródło NVD)
The HTTPD binary in multiple ZTE routers has a stack-based buffer overflow vulnerability in webPrivateDecrypt function. This function is responsible for decrypting RSA encrypted ciphertext, the encrypted data is supplied base64 encoded. The decoded ciphertext is stored on the stack without checking its length. An unauthenticated attacker can get RCE as root by exploiting this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS