CVE-2026-27180
KrytyczneStreszczenie
MajorDoMo (znany również jako Major Domestic Module) jest podatny na zdalne wykonanie kodu bez uwierzytelnienia poprzez kompromitację łańcucha dostaw za pomocą złośliwego URL aktualizacji. Moduł saverestore udostępnia swoją metodę admin() przez punkt końcowy /objects/?module=saverestore bez uwierzytelnienia, co umożliwia atakującemu przeprowadzenie ataku.
Ocena ryzyka
Podatność ta pozwala atakującemu na zdalne wdrożenie dowolnych plików PHP, w tym webshelli, do katalogu głównego serwera, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie MajorDoMo do najnowszej wersji, która naprawia tę podatność oraz wdrożenie odpowiednich mechanizmów uwierzytelniania dla punktów końcowych administracyjnych.
Powiązane podatności
- CVE-2026-71495Krytyczne
W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.
- CVE-2026-19868NieznaneAktywnie exploitowane
Podatność w usłudze SSLVPN systemu SonicOS pozwala użytkownikowi posiadającemu ważne dane logowania do alternatywnej metody uwierzytelniania obejść kontrolę uwierzytelniania SAML. Udana eksploatacja może również ominąć wymuszane przez SAML uwierzytelnianie wieloskładnikowe (MFA).
- CVE-2026-119923Krytyczne
Przepełnienie bufora na stercie w parserze prelogin TDS w rozszerzeniu Babelfish for PostgreSQL (wersje 1.0-1.5, 2.1-2.15, 3.1-3.12, 4.0-4.8, 5.1-5.4) oraz w Amazon Aurora PostgreSQL z Babelfish może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik procesu bazy danych poprzez specjalnie spreparowany zniekształcony pakiet prelogin TDS wysłany na port TDS. Rekord obejmuje również powiązane znalezisko dereferencji wskaźnika NULL w tym samym parserze.
- CVE-2026-123832Krytyczne
W JetBrains CLion przed wersją 2026.2 możliwe było wykonanie kodu w trybie Safe Mode poprzez bazę kompilacji JSON (JSON compilation database). Luka pozwala na uruchomienie dowolnego kodu mimo włączonego trybu bezpiecznego.
- CVE-2026-123831Krytyczne
W JetBrains CLion przed wersjami 2026.2 i 2026.1.4 możliwe było wykonanie kodu w trybie Safe Mode poprzez ustawienia projektu Meson. Luka omija zabezpieczenia trybu bezpiecznego.
- CVE-2026-122193Krytyczne
W Trusted Remote Execution (REX) przed 2026-07-28 przykładowy skrypt provisioningowy dokumentu SSM zawiera podatność na wstrzyknięcie poleceń systemowych. Uwierzytelniony zdalny użytkownik uprawniony do wywołania dokumentu Rex-RO lub Rex-RW może wykonać dowolne polecenia jako root na zarządzanej instancji, omijając egzekwowanie polityki Cedar.
- CVE-2026-59105Krytyczne
Jumis (dawniej Tildes Jumis) tworzy konto logowania Microsoft SQL Server o nazwie ##Tilde_JumisAdmin##, którego hasło jest wyliczane deterministycznie z jednego niejawnego wejścia — nazwy serwera SQL (@@servername). Algorytm wyprowadzania hasła jest zaszyty w aplikacji klienckiej i identyczny w każdej instalacji, a zawiera wbudowany klucz tajny. Ponieważ jedyne wejście (nazwa serwera) nie jest tajne, każda osoba mogąca połączyć się z serwerem SQL Jumis może obliczyć hasło offline i uwierzytelnić się.
- CVE-2026-123488Krytyczne
Craft CMS w wersjach 4.0.0 do 4.18.9 oraz 5.0.0 do 5.11.2 zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym wyszukiwania elementów, ponieważ parametr attribute jest wstawiany do zapytania bez sanityzacji, a emulowane przygotowania PDO pozwalają na łączenie instrukcji. Zdalni atakujący mogą odczytywać i zapisywać bazę danych, ustawiając flagę administratora lub nadpisując hasła w tabeli użytkowników, aby uzyskać dostęp administracyjny.
- CVE-2026-114630Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji factory_reset we wszystkich wersjach do 3.3.8 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Podatność jest wykorzystywana w dwuetapowym łańcuchu: najpierw zapisanie wartości ticket_attachment_path przez publiczny endpoint AJAX, a następnie wywołanie resetu fabrycznego przez żądanie GET.
- CVE-2026-107622Krytyczne
Wtyczka BuddyForms dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 2.10.5 włącznie poprzez atak mylenia typu formularza przez parametr bf_post_type. Nieuwierzytelniony atakujący może wstawić złośliwą konfigurację formularza z kontrolowaną wartością new_user_role do globalnego rejestru formularzy, a następnie zarejestrować konto z uprawnieniami administratora. Wymaga to włączonej opcji "Każdy może się zarejestrować" i co najmniej jednego publicznego formularza BuddyForms.
Oryginalny opis (angielski, źródło NVD)
MajorDoMo (aka Major Domestic Module) is vulnerable to unauthenticated remote code execution through supply chain compromise via update URL poisoning. The saverestore module exposes its admin() method through the /objects/?module=saverestore endpoint without authentication because it uses gr('mode') (which reads directly from $_REQUEST) instead of the framework's $this->mode. An attacker can poison the system update URL via the auto_update_settings mode handler, then trigger the force_update handler to initiate the update chain. The autoUpdateSystem() method fetches an Atom feed from the attacker-controlled URL with trivial validation, downloads a tarball via curl with TLS verification disabled (CURLOPT_SSL_VERIFYPEER set to FALSE), extracts it using exec('tar xzvf ...'), and copies all extracted files to the document root using copyTree(). This allows an attacker to deploy arbitrary PHP files, including webshells, to the webroot with two GET requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS