CVE-2026-119705
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
SerpBear w wersjach przed 3.1.1 zawiera brak uwierzytelniania w pages/api/notify.ts, ponieważ funkcja verifyUser() nigdy nie jest wywoływana. Zdalny nieuwierzytelniony atakujący może wielokrotnie wysyłać żądania POST do /api/notify, opcjonalnie z parametrem domain, wyczerpując limity SMTP, wywołując flagi nadużyć u dostawcy i zalewając odbiorców wiadomościami.
Ocena ryzyka
Atakujący może bez uwierzytelnienia wywołać masową wysyłkę e-maili, co może skutkować zablokowaniem konta SMTP, nałożeniem flag nadużyć i zaśmieceniem skrzynek odbiorców.
Rekomendacja
Zaktualizuj SerpBear do wersji 3.1.1 lub nowszej i upewnij się, że endpoint /api/notify wymaga uwierzytelnienia.
Powiązane podatności
- CVE-2026-4052Krytyczne
Podatność dotyczy wdrożeń WSO2 Identity Server skonfigurowanego jako Resident Key Manager z udostępnianiem bazy danych. W takim środowisku samodzielnie zarejestrowany użytkownik może uzyskać dostęp do System REST APIs WSO2 API Manager poprzez token z endpointu tokenów WSO2 Identity Server.
- CVE-2026-13594Krytyczne
Wersje 13062 i starsze produktów ManageEngine Log360 oraz EventLog Analyzer firmy Zoho Corporation są podatne na problem umożliwiający przeciwnikowi uzyskanie nieautoryzowanego dostępu do produktu.
- CVE-2026-120534Krytyczne
Wtyczka Advanced Custom Fields: Extended PRO dla WordPressa jest podatna na ograniczoną iniekcję kodu w wersjach do 0.9.2.6 włącznie, poprzez funkcję render_field. Brak wystarczającej walidacji parametrów konfiguracji formularza pozwala nieuwierzytelnionym atakującym na wywoływanie dowolnych funkcji WordPressa z kontrolowanymi argumentami.
- CVE-2026-120518Krytyczne
Wtyczka BuddyPress XProfile Image Field dla WordPressa jest podatna na dowolne usuwanie plików w wersjach do 3.1.0 włącznie. Funkcja bpxp_image_field_update_on_user_activation() wywołuje unlink() na ścieżce zbudowanej z metadanych rejestracji dostarczonych przez odwiedzającego, bez rozwiązywania realpath(), sprawdzenia zawierania w katalogu profilowym i listy dozwolonych rozszerzeń.
- CVE-2026-86596Krytyczne
Wtyczka s2Member dla WordPressa w wersjach do 260927 włącznie jest podatna na zdalne wykonanie kodu poprzez parametr 'item_name'. Niedostateczna sanityzacja w funkcji strip_php_tags_deep() usuwa jedynie literalne sekwencje '<?', a późniejsze czyszczenie placeholderów po interpolacji odtwarza poprawny otwieracz '<?php' już po osadzeniu wartości kontrolowanej przez atakującego w szablonie e-mail.
- CVE-2026-97718Krytyczne
W wersji 14.60 serwera Secure Access występuje podatność typu cross-site request forgery (CSRF). Z powodu obejścia mechanizmu kontroli bezpieczeństwa atakujący może zmusić administratora do utworzenia konta pod kontrolą atakującego.
- CVE-2026-116769Krytyczne
W serwerach Secure Access w wersjach od 13.0 do wersji przed 14.61 występuje podatność polegająca na obejściu uwierzytelniania. Atakujący mogą modyfikować ustawienia bezpieczeństwa klienta za pośrednictwem serwera.
- CVE-2026-102435Krytyczne
Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji _getObjAttr we wszystkich wersjach do 3.5.54 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Wymaga to aktywnego dodatku PDF Generator i skonfigurowanego formularza Contact Form 7 do generowania PDF.
- CVE-2026-105606Krytyczne
Rozszerzenie Joomla Custom Tables w wersjach poniżej 3.7.8 pozwala nieuwierzytelnionemu atakującemu na przesłanie dowolnego pliku (typu polyglot) z kontrolowanym rozszerzeniem do publicznie dostępnego katalogu tmp. Ścieżka zapisanego pliku jest ujawniana w odpowiedzi, a plik jest domyślnie serwowany jako statyczna treść.
- CVE-2026-105604Krytyczne
Rozszerzenie Joomla DJ-Classifieds w wersjach poniżej 3.11.3 jest podatne na nieuwierzytelnioną iniekcję SQL w wyszukiwarce frontendowej.
Oryginalny opis (angielski, źródło NVD)
SerpBear before 3.1.1 contains a missing authentication vulnerability in pages/api/notify.ts that allows remote unauthenticated attackers to trigger notification emails because verifyUser() is never called. Attackers can repeatedly POST to /api/notify, optionally with a domain parameter, to exhaust SMTP rate limits, trigger provider abuse flags and flood recipients.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS