CVE-2026-123270
KrytyczneCVSS 9.8Streszczenie
Redpanda Connect w wersjach 4.39–4.110 ma brak uwierzytelniania w API zarządzania HTTP wystawionym na 0.0.0.0:4195, co pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym do TCP/4195 na zdalne wykonanie kodu (RCE). Atakujący może wysłać złośliwą definicję pipeline do /streams/{id} z procesorami wykonującymi kod (command, subprocess, ffi, sql_raw), uzyskując wykonanie poleceń z uprawnieniami konta usługi Redpanda Connect. Od wersji 4.111 API jest domyślnie wyłączone (opt-in), ale RCE nadal jest możliwe po ręcznym włączeniu flagą --bind-http.
Ocena ryzyka
Pełne przejęcie hosta, kradzież poświadczeń i eksfiltracja danych bez interakcji użytkownika i bez poświadczeń, jeśli API zarządzania jest osiągalne sieciowo. Wysokie ryzyko w środowiskach, gdzie port 4195 jest wystawiony poza zaufaną sieć.
Rekomendacja
Zaktualizuj Redpanda Connect do wersji 4.111 lub nowszej i upewnij się, że API zarządzania nie jest włączone flagą --bind-http. Ogranicz dostęp sieciowy do TCP/4195 do zaufanych adresów i wdróż uwierzytelnianie, jeśli API musi być używane.
Powiązane podatności
- CVE-2026-123800Krytyczne
W SuperTokens Core w wersjach od 6.0.0 do 6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 i 12.3.1 funkcja Multitenancy.checkPermissionsForCreateOrUpdate nieprawidłowo autoryzuje aktualizacje domeny nadrzędnej URI połączenia lub dzierżawy bazowej. W licencjonowanym wdrożeniu wielodostępnym z wieloma aplikacjami w ramach jednej domeny URI połączenia innej niż domyślna i oddzielnymi kluczami API atakujący posiadający ważny klucz API jednej aplikacji może zaktualizować domenę nadrzędną, a następnie zastąpić klucze aplikacji siostrzanych, czytać lub modyfikować użytkowników siostrzanych, uzyskiwać sesje jako ci użytkownicy, utrwalić dostęp przez użytkownika pulpitu nawigacyjnego siostrzanej aplikacji i zablokować własny klucz aplikacji siostrzanej. Warianty obsługi tworzenia lub aktualizacji v2 z pominięciem opcjonalnego identyfikatora tworzą cel dzierżawy bazowej, który pomija gałęzie uprawnień i bramkę funkcji enterprise, umożliwiając zmiany w firstFactors, wymaganych czynnikach dodatkowych i flagach włączonych przepisów, co wpływa na integralność i dostępność logowania. Wariant celu bazowego nadal odrzuca coreConfig i nie prowadzi do kradzieży kluczy. Problem naprawiono w wersjach 6.0.24, 7.0.23, 8.0.7, 9.0.6, 9.1.6, 9.2.7, 9.3.5, 10.0.8, 10.1.9, 11.0.9, 11.1.4, 11.2.4, 11.3.8, 11.4.8, 12.0.11, 12.1.2, 12.2.1 i 12.3.1.
- CVE-2026-119756Krytyczne
Tasmota do wersji 16.0.0 (naprawione w commicie e97e1e4) zawiera podatność heap out-of-bounds write w SendReceiveDeviceGroupMessage(), pozwalającą nieuwierzytelnionym atakującym w sieci lokalnej na uszkodzenie pamięci sterty poprzez wysyłanie spreparowanych wiadomości Device Groups przez UDP port 4447. Wiadomości powodują, że licznik log_remaining staje się ujemny, a zapisy przekraczają stały bufor 512 bajtów. Może to doprowadzić do awarii urządzenia lub potencjalnie wykonania kodu na platformach ESP8266 i ESP32 pozbawionych ASLR i heap cookies.
- CVE-2026-104989Krytyczne
W funkcji przesyłania pakietów w Chaos Software V-Ray do wersji 2.0.19 występuje niekontrolowany element ścieżki wyszukiwania. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod, przekierowując dostęp do bibliotek.
- CVE-2026-124079Krytyczne
rConfig Core w wersji 8.0.0 przed 8.2.19 oraz rConfig Pro przed 8.4.1 zawierają podatność deserializacji niezaufanych danych. Nieuwierzytelniony atakujący może umieścić spreparowane zadanie w kolejce Laravel Horizon opartej na Redis, co prowadzi do wykonania dowolnego kodu przez klasę App\Jobs\TaskDownloadRun i pakiet laravel/tinker.
- CVE-2026-110469Krytyczne
WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/upload.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru uploadPath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-110468Krytyczne
WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/controllers/save_photo.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru currentpath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-118462Krytyczne
Komponenty aktualizacji pobierają i wykonują kod bez właściwej weryfikacji autentyczności, opierając się na ignorowanych haszach lub podrabialnych sumach kontrolnych. Niektóre ścieżki aktualizacji pozwalają również na traversal archiwum lub wykonanie skryptu.
- CVE-2026-115252Krytyczne
Wtyczka WordPress Confection Cable w wersjach 0.4.0–0.4.7 nie sprawdza uprawnień ani tokenów nonce przed zapisaniem ustawień, a jedną z wartości zapisuje bez modyfikacji do samodzielnego pliku PHP, który następnie udostępnia. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP na serwerze.
- CVE-2026-124585Krytyczne
W urządzeniach VW2100 i VEC10GP firmy Chengdu Feiyuxing Technology wykryto podatność w interfejsie administracji webowej. Funkcja add_expmac w pliku var/html/webserver nieprawidłowo obsługuje argument mac, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123870Krytyczne
Aplikacja webowa otterdog ocenia format-string zbudowany z treści webhooka GitHub przy użyciu funkcji eval() w Pythonie. Gdy konfiguracja GITHUB_WEBHOOK_SECRET jest nieustawiona lub pusta (domyślnie None), weryfikacja podpisu HMAC jest całkowicie pomijana. Umożliwia to nieuwierzytelnionemu klientowi sieciowemu dotarcie do eval() z danymi kontrolowanymi przez atakującego i wykonanie dowolnego kodu Pythona na hoście.
Oryginalny opis (angielski, źródło NVD)
Redpanda Connect versions 4.39 to 4.110 contain a missing authentication vulnerability that enables unauthenticated remote code execution (RCE). In streams mode, the management HTTP API is exposed on `0.0.0.0:4195`, but authentication is disabled by default and there is no authentication gate protecting the stream CRUD routes. An unauthenticated attacker with network access to TCP/4195 can `POST` a malicious pipeline definition to `/streams/{id}` that includes code-executing processors such as `command`, `subprocess`, `ffi`, or unsafe `sql_raw`, thereby achieving arbitrary RCE on the host with the permissions of the Redpanda Connect service account. Because pipelines can also return command output in-band via HTTP, this vulnerability enables full host compromise, credential theft, and data exfiltration with no user interaction or credentials required. Starting with v4.111, the API endpoint was reconfigured as opt-in, so this and later versions are no longer vulnerable by default. However, RCE remains achievable on v4.111 and later if the management API is manually enabled via the `--bind-http` flag.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS