CVE-2026-70658
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W bibliotece Pay (Ruby on Rails) przed wersją 11.6.2 kontroler Pay::Webhooks::PaddleBillingController porównuje HMAC SHA-256 z tokenem h1 z nagłówka Paddle-Signature przy użyciu String#==, co umożliwia atakującemu odtworzenie poprawnego podpisu na podstawie pomiarów czasu. Sfałszowany webhook może zmienić stan rozliczeń, aktywować płatne funkcje lub wywołać powiadomienia.
Ocena ryzyka
Nieuwierzytelniony zdalny atakujący może sfałszować webhooki Paddle, prowadząc do nieautoryzowanych zmian w rozliczeniach, aktywacji płatnych funkcji lub wycieku danych klientów.
Rekomendacja
Zaktualizuj bibliotekę Pay do wersji 11.6.2, która zastępuje porównanie String#== bezpiecznym porównaniem odpornym na ataki czasowe.
Powiązane podatności
- CVE-2026-124060Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 wykryto podatność w funkcji UploadCustomModule w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem File prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-124059Krytyczne
Wykryto podatność bezpieczeństwa w urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884. Podatna jest funkcja setWiFiWdsAddConfig w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem ApCliKeyStr prowadzi do przepełnienia bufora. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-124058Krytyczne
Zidentyfikowano słabość w urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884. Podatna jest funkcja setWiFiRepeaterConfig w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem ApCliKeyStr może prowadzić do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został udostępniony publicznie i może być wykorzystany w atakach.
- CVE-2026-124057Krytyczne
W TOTOLINK CA300-PoE 6.2c.884 odkryto lukę w zabezpieczeniach funkcji setWiFiMultipleConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem Key1Str1 prowadzi do przepełnienia bufora, a atak można zainicjować zdalnie. Exploit został publicznie udostępniony i może być wykorzystany.
- CVE-2026-123966Krytyczne
W urządzeniu Tenda AC19 w wersji 16.03.10.07 wykryto podatność w funkcji saveParentControlInfo w pliku /goform/saveParentControlInfo. Manipulacja argumentem deviceId powoduje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120984Krytyczne
W komponencie zarządzania klientami serwera Keycloak wykryto błąd. Podczas tworzenia lub importu klienta z włączonymi usługami autoryzacji system nie czyści prawidłowo atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami może ominąć mechanizmy bezpieczeństwa i przesłać złośliwą politykę JavaScript, która jest wykonywana na serwerze.
- CVE-2026-122041Krytyczne
Wtyczka Checkout Field Editor for WooCommerce (Pro) dla WordPressa w wersjach do 3.8.0 włącznie jest podatna na nieautoryzowane usuwanie dowolnych załączników z powodu braku sprawdzenia uprawnień i własności w funkcji ajax_remove_uploaded(). Funkcja jest zarejestrowana dla wp_ajax i wp_ajax_nopriv i chroniona wyłącznie nonce 'file_handling_nonce', który jest ujawniany w publicznym kodzie strony checkoutu.
- CVE-2026-119075Krytyczne
Wtyczka Registration Form for WooCommerce dla WordPressa w wersjach do 1.1.4 włącznie jest podatna na eskalację uprawnień z powodu braku sprawdzenia listy dozwolonych ról w funkcji FormHandler::validate_checkout_fields(). Ścieżka rejestracji podczas checkoutu zapisuje surową wartość $_POST['user_roles'] bez walidacji, a add_user_data() wstrzykuje ją jako rolę nowego konta.
- CVE-2026-118066Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na obejście uwierzytelniania i przejęcie konta. Funkcja OsModel::build_conditions_query() porównuje wartości klauzuli WHERE z literałami 'IS NULL' i 'IS NOT NULL' i konkatenuje dopasowanie bezpośrednio do SQL bez parametryzacji, co pozwala nieuwierzytelnionemu atakującemu wysłać params[password_reset_token]=IS NOT NULL do publicznej trasy AJAX customer_cabinet__change_password i zmienić hasło klienta o najniższym ID.
- CVE-2026-104014Krytyczne
Wtyczka Naimur Email OTP Verification for WooCommerce w wersjach do 2.1.0 włącznie jest podatna na obejście uwierzytelniania. Endpoint finalizacji resetu hasła autoryzuje reset wyłącznie na podstawie obecności wiersza w bazie oznaczającego e-mail jako 'VERIFIED', bez sprawdzania czasu, powiązania z sesją ani tokenu, a zaplanowane zadanie czyszczenia nie ma zarejestrowanego handlera, więc nigdy nie działa.
Oryginalny opis (angielski, źródło NVD)
Pay is a payments engine for Ruby on Rails 6.0 and higher. Prior to 11.6.2, Pay::Webhooks::PaddleBillingController#valid_signature? in app/controllers/pay/webhooks/paddle_billing_controller.rb compares the computed 64-character SHA-256 HMAC with the attacker-controlled h1 token from the Paddle-Signature header using Ruby String#==. An unauthenticated remote attacker who can repeatedly submit requests to /pay/webhooks/paddle_billing and obtain sufficiently precise timing measurements can infer matching digest prefixes and recover a valid signature. A forged accepted webhook is enqueued through Pay::Webhooks::ProcessJob and can cause a host application to update billing state, provision paid features, record refunds, or trigger customer notifications. This issue is fixed in version 11.6.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS