CVE-2026-81638
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w ash_double_entry projektu ash-project pozwala atakującemu na przesłanie różnych wariantów pisowni tego samego identyfikatora ULID. Ze względu na nieprawidłowe maskowanie pierwszego znaku, wiele różnych ciągów znaków dekoduje się do tej samej wartości, co umożliwia desynchronizację kontroli na poziomie ciągów znaków, takich jak klucze idempotencji czy listy blokad.
Ocena ryzyka
Ryzyko obejmuje możliwość obejścia mechanizmów bezpieczeństwa opartych na porównywaniu ciągów znaków, co może prowadzić do nieautoryzowanego dostępu, naruszenia integralności danych lub ataków na logikę biznesową.
Rekomendacja
Zaleca się aktualizację ash_double_entry do wersji 1.0.19 lub nowszej, która zawiera poprawkę. Należy również rozważyć walidację identyfikatorów po stronie serwera, aby odrzucać niekanoniczne reprezentacje.
Powiązane podatności
- CVE-2026-114425Krytyczne
SEPPmail Secure Email Gateway przed wersją 15.1.1 ufa ścieżce pliku dostarczonej w zewnętrznych metadanych załącznika Large File Transfer. Nieuwierzytelniony zdalny nadawca może spowodować ujawnienie, przeniesienie lub usunięcie dostępnego pliku regularnego, gdy LFT jest włączone, a wiadomość trafi do podatnej ścieżki przetwarzania. Zweryfikowane procesy robocze działały jako root.
- CVE-2026-114424Krytyczne
SEPPmail Secure Email Gateway przed wersją 15.1.1 może wykonywać tekst zastępczy pochodzący od atakującego jako kod Perl w regułach zastępowania nadawcy lub odbiorcy. Nieuwierzytelniony zdalny nadawca może wykonać polecenia systemu operacyjnego w kontekście procesu roboczego przetwarzania poczty, gdy aktywna reguła używa danych pochodzących z wiadomości, a warunek wyszukiwania pasuje. Zweryfikowany kontekst procesu roboczego działał jako root.
- CVE-2026-121802Krytyczne
Biblioteka @better-auth/expo w wersji przed 1.7.16 podpisuje wartość state dostarczoną przez wywołującego bez weryfikacji, czy została ona wydana przez serwer. Umożliwia to atakującemu osiągnięcie przejęcia konta, np. nieuwierzytelnioną zmianę adresu e-mail dowolnego konta.
- CVE-2026-121615Krytyczne
W urządzeniu Linksys E5600 1.1.0.26 w pliku /cgi-bin/mesh_login.cgi (obsługa logowania) występuje luka pozwalająca na niewłaściwe uwierzytelnienie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2026-121609Krytyczne
W routerze Qihoo 360 Whole Home Router M5 w wersji 4.0.17.1566 wykryto podatność w skrypcie startowym /etc/init.d/mpt (funkcja Home). Problem polega na użyciu zaszytych na stałe danych uwierzytelniających. Exploit jest publicznie dostępny i może zostać wykorzystany zdalnie.
- CVE-2026-121607Krytyczne
W urządzeniach Qihoo 360 D603-2, D600-2, D606-6 i D706 do wersji 6.4.9 wykryto podatność w funkcji testspeed_command pliku /fs2/bin/iscm. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-121606Krytyczne
W urządzeniach Qihoo 360 (modele D621-2, D603-2, D600-2, D619, D606-6 i D706 do wersji 6.4.9) wykryto podatność w funkcji verify_sign pliku fs2/bin/iscm odpowiedzialnej za weryfikację podpisów firmware. Manipulacja argumentem sign prowadzi do nieprawidłowej weryfikacji podpisu kryptograficznego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-121600Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcji setMacFilterRules pliku /cgi-bin/cstecgi.cgi obsługującej filtr MAC. Manipulacja argumentem addEffect powoduje przepełnienie bufora na stosie. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121599Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcjach setWiFiMultipleConfig/delWiFiMultipleConfig pliku /cgi-bin/cstecgi.cgi obsługujących konfigurację Multi-SSID. Manipulacja argumentami wepkey2/wepkey3 powoduje przepełnienie bufora na stosie. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-121598Krytyczne
W routerze TOTOLINK A950RG w wersji 4.1.2cu.5268_B20221104 wykryto podatność w funkcji strcpy pliku /cgi-bin/cstecgi.cgi obsługującej podstawową konfigurację sieci bezprzewodowej. Manipulacja argumentem wepkey prowadzi do przepełnienia bufora na stosie. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
Improper Handling of Alternate Encoding vulnerability in ash-project ash_double_entry allows an attacker to submit several distinct string spellings of the same identifier. AshDoubleEntry.ULID renders a 128-bit ULID as 26 Crockford base-32 characters, but the first character encodes only 3 bits, so canonical values are 0 to 7. decode/1 in lib/ulid.ex masks the first character to its low 3 bits and valid?/1 accepts all 32 characters in that position, so 0..., 8..., G... and R... decode to the identical 16-byte value and resolve to the same row. When the type is exposed as a public ID over an HTTP or API boundary, an attacker-supplied ID can be spelled differently from the record it actually reads or writes, desynchronizing or bypassing string-level checks such as idempotency and deduplication keys, deny-lists, audit correlation, or signatures computed over the submitted ID. This issue affects ash_double_entry: from 0.1.0 before 1.0.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS