CVE-2026-44889
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
WebOb przed wersją 1.8.10 jest podatny na otwarte przekierowanie z powodu nieprawidłowej normalizacji nagłówka Location podczas przekierowania. Atakujący może wykorzystać znaki ASCII tabulacji, powrotu karetki i nowej linii w celu zmiany interpretacji docelowego adresu URL na protokołowo-względny URL, co prowadzi do przekierowania użytkownika na zewnętrzną, kontrolowaną przez atakującego witrynę. Podatność ta omija poprawkę CVE-2024-42353.
Ocena ryzyka
Organizacja narażona jest na ataki phishingowe i kradzież danych uwierzytelniających, ponieważ atakujący może przekierować użytkowników na fałszywe strony podszywające się pod zaufane usługi.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę WebOb do wersji 1.8.10 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Powiązane podatności
- CVE-2026-113364Krytyczne
Przepełnienie bufora w procesie odbierania danych w NEC WebSAM WinShare w wersjach 7.5.0 i wcześniejszych, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez spreparowany pakiet z nieprawidłową wartością rozmiaru danych w nagłówku protokołu.
- CVE-2026-113363Krytyczne
Nieprawidłowa walidacja danych wejściowych w przetwarzaniu komunikacji sieciowej w NEC WebSAM WinShare w wersjach 7.2.0–7.5.0, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń z uprawnieniami SYSTEM poprzez spreparowany pakiet sieciowy wysłany do komputera z uruchomionym WinShare.
- CVE-2026-124560Krytyczne
W urządzeniu D-Link DIR-878 w wersji 1.20B05 wykryto podatność w funkcji GetCAPTCHAsetting w pliku bin/prog.cgi (komponent HNAP Handler). Manipulacja argumentem uid prowadzi do przepełnienia bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-119506Krytyczne
Wtyczka Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.30.1 zawiera błąd nieprawidłowego przypisania uprawnień. Luka umożliwia atakującemu eskalację uprawnień w obrębie witryny WordPress.
- CVE-2026-6715Krytyczne
IBM Concert w wersjach 1.0 do 3.0.1.1 pozwala atakującemu dostarczyć spreparowane dane wejściowe, które trafiają do polecenia systemu operacyjnego bez odpowiedniej walidacji lub sanityzacji. Skuteczne wykorzystanie umożliwia zdalnym atakującym wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami usługi.
- CVE-2026-17466Krytyczne
IBM Optim w wersjach 1.0.0, 1.1.0 i 1.2.0 jest podatny na atak path traversal, który umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.
- CVE-2026-15266Krytyczne
IBM Concert w wersjach od 1.0 do 3.0.1.1 zawiera komponenty umożliwiające potencjalnie niebezpieczne wykonanie poleceń, co może zostać wykorzystane do uruchomienia dowolnych poleceń systemowych na hoście.
- CVE-2026-114464Krytyczne
IBM Process Mining w wersjach 2.0.0 do 2.2.1 ma nieprawidłową kontrolę dostępu, co może pozwolić zdalnemu atakującemu na uzyskanie dostępu do poufnych informacji.
- CVE-2026-107331Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 ma podatność typu absolute-path traversal, która może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie dostępu do poufnych informacji.
- CVE-2026-109900Krytyczne
Wtyczka Melapress Role Editor do WordPressa (do wersji 1.3.0) zawiera błąd nieprawidłowego przypisania uprawnień, który umożliwia eskalację przywilejów. Użytkownik o niskich uprawnieniach może uzyskać wyższy poziom dostępu w systemie.
Oryginalny opis (angielski, źródło NVD)
WebOb provides objects for HTTP requests and responses. Prior to 1.8.10, the normalization of the HTTP Location header during a redirect is vulnerable to an open redirect: WebOb joins the redirect target to the request URI using Python's urljoin, and since Python 3.10 the underlying urlsplit strips ASCII tab, carriage return, and newline characters before parsing, so a redirect target containing such characters can be reinterpreted as a protocol-relative URL whose authority is an attacker-controlled host. This bypasses the CVE-2024-42353 fix that escaped a leading double slash, allowing an attacker who influences the redirect location to send users to an arbitrary external site instead of the intended one. This vulnerability is fixed in 1.8.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS