CVE-2026-30305
KrytyczneStreszczenie
Moduł automatycznej akceptacji poleceń Syntx zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, co czyni mechanizm białej listy całkowicie nieskutecznym. System opiera się na delikatnych wyrażeniach regularnych do analizy struktur poleceń, co prowadzi do błędnej identyfikacji niebezpiecznych operacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji. Wykonanie złośliwego kodu może nastąpić bez interakcji użytkownika, co zwiększa ryzyko ataku.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie modułu Syntx oraz wdrożenie dodatkowych mechanizmów zabezpieczających, aby zapobiec wstrzykiwaniu poleceń. Należy również przeanalizować i poprawić logikę walidacji poleceń w systemie.
Powiązane podatności
- CVE-2026-123966Krytyczne
W urządzeniu Tenda AC19 w wersji 16.03.10.07 wykryto podatność w funkcji saveParentControlInfo w pliku /goform/saveParentControlInfo. Manipulacja argumentem deviceId powoduje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120984Krytyczne
W komponencie zarządzania klientami serwera Keycloak wykryto błąd. Podczas tworzenia lub importu klienta z włączonymi usługami autoryzacji system nie czyści prawidłowo atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami może ominąć mechanizmy bezpieczeństwa i przesłać złośliwą politykę JavaScript, która jest wykonywana na serwerze.
- CVE-2026-122041Krytyczne
Wtyczka Checkout Field Editor for WooCommerce (Pro) dla WordPressa w wersjach do 3.8.0 włącznie jest podatna na nieautoryzowane usuwanie dowolnych załączników z powodu braku sprawdzenia uprawnień i własności w funkcji ajax_remove_uploaded(). Funkcja jest zarejestrowana dla wp_ajax i wp_ajax_nopriv i chroniona wyłącznie nonce 'file_handling_nonce', który jest ujawniany w publicznym kodzie strony checkoutu.
- CVE-2026-119075Krytyczne
Wtyczka Registration Form for WooCommerce dla WordPressa w wersjach do 1.1.4 włącznie jest podatna na eskalację uprawnień z powodu braku sprawdzenia listy dozwolonych ról w funkcji FormHandler::validate_checkout_fields(). Ścieżka rejestracji podczas checkoutu zapisuje surową wartość $_POST['user_roles'] bez walidacji, a add_user_data() wstrzykuje ją jako rolę nowego konta.
- CVE-2026-118066Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na obejście uwierzytelniania i przejęcie konta. Funkcja OsModel::build_conditions_query() porównuje wartości klauzuli WHERE z literałami 'IS NULL' i 'IS NOT NULL' i konkatenuje dopasowanie bezpośrednio do SQL bez parametryzacji, co pozwala nieuwierzytelnionemu atakującemu wysłać params[password_reset_token]=IS NOT NULL do publicznej trasy AJAX customer_cabinet__change_password i zmienić hasło klienta o najniższym ID.
- CVE-2026-104014Krytyczne
Wtyczka Naimur Email OTP Verification for WooCommerce w wersjach do 2.1.0 włącznie jest podatna na obejście uwierzytelniania. Endpoint finalizacji resetu hasła autoryzuje reset wyłącznie na podstawie obecności wiersza w bazie oznaczającego e-mail jako 'VERIFIED', bez sprawdzania czasu, powiązania z sesją ani tokenu, a zaplanowane zadanie czyszczenia nie ma zarejestrowanego handlera, więc nigdy nie działa.
- CVE-2026-123961Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 wykryto podatność w funkcji setWiFiBasicConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem KeyStr prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123960Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setWanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty pppoeUser/priDns/secDns, co prowadzi do przepełnienia bufora. Podatność może być wykorzystana zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123959Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanguageCfg w pliku /cgi-bin/cstecgi.cgi nieprawidłowo przetwarza argument langType, co prowadzi do przepełnienia bufora. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-123958Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty lanDns/lanSecDns/langType, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
Syntx's command auto-approval module contains a critical OS command injection vulnerability that renders its whitelist security mechanism completely ineffective. The system relies on fragile regular expressions to parse command structures; while it attempts to intercept dangerous operations, it fails to account for standard Shell command substitution syntax (specifically $(...)and backticks ...). An attacker can construct a command such as git log --grep="$(malicious_command)", forcing Syntx to misidentify it as a safe git operation and automatically approve it. The underlying Shell prioritizes the execution of the malicious code injected within the arguments, resulting in Remote Code Execution without any user interaction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS