CWE-502

Podatność klasy deserialization of untrusted data (CWE-502) w Microsoft Planetary Computer Pro umożliwia nieuwierzytelnionemu atakującemu ujawnienie informacji przez sieć. Krytyczny wynik CVSS 10.0 oraz brak wymagań co do uprawnień i interakcji użytkownika czynią tę lukę szczególnie niebezpieczną.

Podatność typu code injection w projekcie ChromaDB (wersja 1.0.0 i nowsze) pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu na serwerze. Brak wymogu uwierzytelnienia oraz maksymalny wynik CVSS 10.0 czynią tę podatność krytycznym zagrożeniem dla każdej instancji ChromaDB dostępnej z sieci.

Podatność w Microsoft Bing polega na deserializacji niezaufanych danych, co pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE) przez sieć. Podatność otrzymała maksymalną ocenę CVSS 10.0, co czyni ją wyjątkowo krytyczną.

Podatność w interfejsie webowym Cisco Secure Firewall Management Center (FMC) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu wykonanie dowolnego kodu Java z uprawnieniami root. Podatność otrzymała maksymalny wynik CVSS 10.0 i jest aktywnie wykorzystywana w atakach.

Altec DocLink w wersji 4.0.336.0 udostępnia niezabezpieczone endpointy .NET Remoting bez wymagania uwierzytelnienia, co umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze. Podatność jest oceniana jako krytyczna z maksymalną oceną CVSS 10.0.

Calero VeraSMART w wersjach wcześniejszych niż 2022 R1 udostępnia nieuwierzytelnioną usługę .NET Remoting HTTP na porcie TCP 8001, umożliwiając zdalnemu atakującemu odczyt i zapis dowolnych plików, a następnie wykonanie kodu w kontekście aplikacji IIS. Podatność otrzymała maksymalną ocenę CVSS 10.0, co oznacza pełne ryzyko kompromitacji systemu bez konieczności posiadania jakichkolwiek danych uwierzytelniających.

EPyT-Flow, pakiet Python do symulacji sieci wodociągowych, zawiera krytyczną podatność w swoim REST API, umożliwiającą zdalne wykonanie kodu (RCE) przez spreparowany payload JSON. Brak wymagań uwierzytelnienia i pełny zakres uprawnień sprawia, że zagrożenie jest maksymalnie poważne (CVSS 10.0).

Podatność krytyczna w platformie datavane TIS łączy dwa wektory ataku: nieograniczony upload plików niebezpiecznego typu (CWE-434) oraz deserializację niezaufanych danych (CWE-502). Możliwość zdalnego wykonania kodu bez uwierzytelnienia czyni ją wyjątkowo groźną dla każdej instalacji TIS przed wersją v4.3.0.

Podatność w bibliotece Hugging Face smolagents umożliwia zdalnym atakującym wykonanie dowolnego kodu bez uwierzytelnienia. Wynika z braku walidacji danych wejściowych podczas deserializacji formatu pickle, co czyni ją wyjątkowo groźną dla każdej instalacji tego oprogramowania.

Barracuda Service Center wchodzący w skład rozwiązania RMM eksponuje usługę .NET Remoting niewystarczająco zabezpieczoną przed deserializacją dowolnych typów. Luka otrzymała maksymalny wynik CVSS 10.0 i umożliwia zdalne wykonanie kodu bez uwierzytelnienia.

Podatność umożliwia zdalne wykonanie kodu (RCE) bez jakiegokolwiek uwierzytelnienia w komponentach React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 oraz 19.2.0. Jest to podatność krytyczna (CVSS 10.0), aktywnie wykorzystywana w atakach.

Podatność w komponencie N-central Software Probe (wersje przed 2025.4) umożliwia zdalne wykonanie kodu (RCE) poprzez niebezpieczną deserializację danych. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla infrastruktury zarządzanej przez N-Able N-Central.

Krytyczna podatność na deserializację niezaufanych danych (CWE-502) w oprogramowaniu Topal Finanzbuchhaltung firmy Topal Solutions AG umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie groźną dla każdej organizacji korzystającej z tego produktu.

W produkcie DOXENSE WATCHDOC w wersjach przed 6.1.1.5332 istnieje podatność deserializacji niezaufanych danych (CWE-502), umożliwiająca zdalne wykonanie kodu bez uwierzytelnienia. Krytyczna ocena CVSS 10.0 oznacza pełne zagrożenie dla poufności, integralności i dostępności systemu.

Krytyczna podatność w komponencie License Servlet aplikacji Fortra GoAnywhere MFT umożliwia atakującemu, który potrafi sfałszować podpis odpowiedzi licencyjnej, deserializację dowolnego obiektu kontrolowanego przez atakującego. Podatność jest aktywnie wykorzystywana w środowiskach produkcyjnych i uzyskała maksymalny wynik CVSS 10.0.

SAP NetWeaver zawiera krytyczną podatność deserialization w module RMI-P4, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie niebezpieczną dla każdej organizacji korzystającej z SAP NetWeaver.

H3C Intelligent Management Center (IMC) w wersjach do E0632H07 włącznie zawiera krytyczną podatność umożliwiającą zdalne wykonanie poleceń (RCE) przez endpoint /byod/index.xhtml. Luka nie wymaga uwierzytelnienia ani sesji użytkownika, co czyni ją wyjątkowo niebezpieczną w środowiskach sieciowych.

Hyland OnBase w wersjach wcześniejszych niż 17.0.2.87 (możliwe, że dotyczy też innych wersji) jest podatny na nieuwierzytelnione zdalne wykonanie kodu (RCE) przez niebezpieczną deserializację na kanale .NET Remoting TCP. Podatność umożliwia atakującemu bez żadnego uwierzytelnienia przejęcie pełnej kontroli nad systemem z uprawnieniami NT AUTHORITY\SYSTEM.

W platformie Hikvision Integrated Security Management Platform (ISMP) istnieje krytyczna podatność umożliwiająca nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Przyczyną jest użycie podatnej wersji biblioteki Fastjson do deserializacji niezaufanych danych wejściowych w komponencie applyCT.

Podatność PHP object injection w opartym na Laravel oprogramowaniu forum projektu Monero umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Wynika z niebezpiecznego przetwarzania niezaufanych danych wejściowych w endpoincie /get/image/, co przy CVSS 10.0 czyni ją podatnością krytyczną.