CVE-2026-15545
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji main pliku www/apcupsd/tomatodata.cgi komponentu apcupsd. Manipulacja prowadzi do zapisu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu lub awarię systemu poprzez wykorzystanie podatności w komponencie apcupsd. Publicznie dostępny exploit zwiększa ryzyko szybkiego ataku.
Rekomendacja
Należy natychmiast zaktualizować Shibby Tomato do najnowszej wersji FreshTomato, która nie jest już dotknięta tą podatnością. Jeśli aktualizacja nie jest możliwa, należy wyłączyć komponent apcupsd.
Inne podatności w apcupsd
Zobacz wszystkie- CVE-2026-103436Niskie
Podatność w apcupsd do wersji 3.14.14 ujawnia niezainicjalizowaną pamięć stosu w funkcji getupsvar() w src/cgi/upsfetch.c (używanej przez upsstats.cgi, multimon.cgi i upsfstats.cgi). W przypadku pojedynczego pola, gdy dopasowana linia STATUS ma mniej niż trzy tokeny oddzielone białymi znakami, sscanf("%*s %*s %s", answer) nie wykonuje przypisania, ale funkcja zwraca sukces, a wywołujący wypisuje niezainicjalizowany bufor docelowy do odpowiedzi HTTP.
- CVE-2026-103432Wysokie
apcupsd do wersji 3.14.14 ma przepełnienie bufora oparte na stosie w funkcji sscanf w getupsvar() w src/cgi/upsfetch.c (używanej przez upsstats.cgi, multimon.cgi i upsfstats.cgi), co jest powiązane z CVE-2026-15544.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Shibby Tomato up to 1.28.0000. Affected by this vulnerability is the function main of the file www/apcupsd/tomatodata.cgi of the component apcupsd. Such manipulation leads to out-of-bounds write. The attack may be launched remotely. The exploit is publicly available and might be used. This project is superseded by FreshTomato.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS