CVE-2026-11807
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W API WebSocket Event-Driven Ansible (EDA) brakuje autoryzacji dla punktu końcowego /api/eda/ws/ansible-rulebook. Uwierzytelniony użytkownik może wysłać sfałszowaną wiadomość z dowolnym activation_id, aby uzyskać poświadczenia w postaci jawnego tekstu, w tym tokeny OAuth, hasła do sejfów i klucze SSH.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych poświadczeń, co może prowadzić do nieautoryzowanego dostępu do systemów zarządzanych przez Ansible oraz eskalacji uprawnień w środowisku IT.
Rekomendacja
Należy natychmiast zaktualizować Event-Driven Ansible do wersji zawierającej poprawkę oraz wdrożyć mechanizmy autoryzacji dla wszystkich endpointów WebSocket.
Powiązane podatności
- CVE-2026-123966Krytyczne
W urządzeniu Tenda AC19 w wersji 16.03.10.07 wykryto podatność w funkcji saveParentControlInfo w pliku /goform/saveParentControlInfo. Manipulacja argumentem deviceId powoduje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120984Krytyczne
W komponencie zarządzania klientami serwera Keycloak wykryto błąd. Podczas tworzenia lub importu klienta z włączonymi usługami autoryzacji system nie czyści prawidłowo atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami może ominąć mechanizmy bezpieczeństwa i przesłać złośliwą politykę JavaScript, która jest wykonywana na serwerze.
- CVE-2026-122041Krytyczne
Wtyczka Checkout Field Editor for WooCommerce (Pro) dla WordPressa w wersjach do 3.8.0 włącznie jest podatna na nieautoryzowane usuwanie dowolnych załączników z powodu braku sprawdzenia uprawnień i własności w funkcji ajax_remove_uploaded(). Funkcja jest zarejestrowana dla wp_ajax i wp_ajax_nopriv i chroniona wyłącznie nonce 'file_handling_nonce', który jest ujawniany w publicznym kodzie strony checkoutu.
- CVE-2026-119075Krytyczne
Wtyczka Registration Form for WooCommerce dla WordPressa w wersjach do 1.1.4 włącznie jest podatna na eskalację uprawnień z powodu braku sprawdzenia listy dozwolonych ról w funkcji FormHandler::validate_checkout_fields(). Ścieżka rejestracji podczas checkoutu zapisuje surową wartość $_POST['user_roles'] bez walidacji, a add_user_data() wstrzykuje ją jako rolę nowego konta.
- CVE-2026-118066Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na obejście uwierzytelniania i przejęcie konta. Funkcja OsModel::build_conditions_query() porównuje wartości klauzuli WHERE z literałami 'IS NULL' i 'IS NOT NULL' i konkatenuje dopasowanie bezpośrednio do SQL bez parametryzacji, co pozwala nieuwierzytelnionemu atakującemu wysłać params[password_reset_token]=IS NOT NULL do publicznej trasy AJAX customer_cabinet__change_password i zmienić hasło klienta o najniższym ID.
- CVE-2026-104014Krytyczne
Wtyczka Naimur Email OTP Verification for WooCommerce w wersjach do 2.1.0 włącznie jest podatna na obejście uwierzytelniania. Endpoint finalizacji resetu hasła autoryzuje reset wyłącznie na podstawie obecności wiersza w bazie oznaczającego e-mail jako 'VERIFIED', bez sprawdzania czasu, powiązania z sesją ani tokenu, a zaplanowane zadanie czyszczenia nie ma zarejestrowanego handlera, więc nigdy nie działa.
- CVE-2026-123961Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 wykryto podatność w funkcji setWiFiBasicConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem KeyStr prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123960Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setWanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty pppoeUser/priDns/secDns, co prowadzi do przepełnienia bufora. Podatność może być wykorzystana zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123959Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanguageCfg w pliku /cgi-bin/cstecgi.cgi nieprawidłowo przetwarza argument langType, co prowadzi do przepełnienia bufora. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-123958Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty lanDns/lanSecDns/langType, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability was found in the Event-Driven Ansible (EDA) websocket API. The /api/eda/ws/ansible-rulebook endpoint does not verify user permissions when processing Worker messages. Any authenticated user can send a forged message with an arbitrary activation_id to receive plaintext credentials associated with that activation, including OAuth tokens, vault passwords, and SSH keys.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS