CWE-78

A shellcode injection in the mercurial handler of the obs tar_scm source service before version 0.12.4 could be used by attackers able to provide a _service file to execute code as the source service or the local user checking out the malicious services

Storage Concentrator (SC & SCVM) contains a command injection vulnerability in the ms_service.pl service, which listens on TCP port 9000 by default and accepts custom network packets to perform device actions. An unauthenticated remote attacker can send a specially crafted packet containing a malicious payload that is processed without adequate sanitization, resulting in arbitrary command execution with root-level privileges.

Storage Concentrator (SC & SCVM) contains a command injection vulnerability within the debug.pl script that is reachable without authentication. A remote attacker can submit a specially crafted HTTP request containing a malicious payload that is processed without adequate input sanitization, resulting in arbitrary command execution with root-level privileges on the underlying system.

Błąd w logice uwierzytelniania platformy orkiestracyjnej Kestra pozwala nieuwierzytelnionemu atakującemu ominąć Basic Auth i tworzyć oraz uruchamiać dowolne workflow. Bezpośrednim skutkiem jest unauthenticated Remote Code Execution z uprawnieniami root wewnątrz kontenera Kestra worker.

Podatność w module uruchamiania kontenerów w Google Gemini CLI oraz GitHub Action run-gemini-cli umożliwia zdalnemu, nieuprzywilejowanemu atakującemu wykonanie dowolnego kodu na poziomie hosta przed uruchomieniem sandboxa. Ocena CVSS 10.0 oznacza maksymalne ryzyko — podatność nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Krytyczna podatność typu command injection w serwerze MariaDB pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń powłoki systemowej. Dotyczy konfiguracji z włączoną opcją `wsrep_notify_cmd` (replikacja Galera Cluster) i uzyskała maksymalny wynik CVSS 10.0.

Krytyczna podatność typu command injection w Ivanti Sentry umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych z uprawnieniami root. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko — brak wymagań dotyczących uwierzytelnienia i interakcji użytkownika czyni tę lukę wyjątkowo niebezpieczną.

Podatność typu command injection w oprogramowaniu Acer Connect M6E 5G pozwala na wstrzyknięcie dowolnych poleceń systemowych poprzez temat wiadomości FieldX MDM adb. Jest to podatność krytyczna (CVSS 10.0), nie wymagająca uwierzytelnienia ani interakcji użytkownika.

Dalfox w trybie serwera REST API (dalfox server) domyślnie nasłuchuje na 0.0.0.0:6664 bez wymaganego uwierzytelnienia, co pozwala dowolnemu atakującemu osiągalnemu sieciowo na wykonanie dowolnych poleceń powłoki na hoście. Podatność jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

CtrlPanel w wersjach 1.1.1 i wcześniejszych zawiera krytyczną podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń na serwerze (RCE) poprzez webowy instalator. Podatność jest aktywnie eksploatowana na wolności.

PDF Export Module używany w produktach DHTMLX Gantt i Scheduler zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) przez brak sanityzacji parametru "data". Atakujący niewymagający uwierzytelnienia może przejąć kontrolę nad serwerem, co czyni tę podatność krytyczną (CVSS 10.0).

Produkt Coderider-Kilo zawiera krytyczną podatność typu OS Command Injection w module automatycznego zatwierdzania poleceń (command auto-approval), która całkowicie obala wbudowany mechanizm whitelist. Atakujący bez żadnego uwierzytelnienia może zdalnie wykonać dowolne polecenia systemowe na podatnej maszynie z systemem Windows.

WWBN AVideo w wersjach do 26.0 włącznie zawiera łańcuch krytycznych podatności w pluginie CloneSite, który umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) na serwerze. Podatność uzyskała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie niebezpieczną dla każdej instancji dostępnej z sieci.

Krytyczna podatność klasy command injection (RCE) w aplikacji WeGIA umożliwia atakującemu wykonanie dowolnych poleceń systemu operacyjnego na serwerze. Zagrożenie jest szczególnie poważne, ponieważ wymagany dostęp administracyjny można uzyskać poprzez wcześniej opisaną lukę w uwierzytelnieniu (Authentication Bypass).

Podatność w serwerze HTTP/HTTPS TinyWeb (wersje przed 2.01) umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie mechanizmów kontroli parametrów CGI. W zależności od konfiguracji serwera skutkuje to ujawnieniem kodu źródłowego hostowanych skryptów lub pełnym zdalnym wykonaniem kodu (RCE).

Urządzenie PROLiNK PRC2402M we firmware z datą 20190909 (przed 2021-06-13) zawiera krytyczną podatność command injection w interfejsie CGI. Atakujący bez uwierzytelnienia może wykonać dowolne polecenia systemowe na urządzeniu.

TinyWeb HTTP Server w wersjach przed 1.98 jest podatny na OS command injection poprzez parametry zapytania CGI w stylu ISINDEX. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia systemowe na serwerze, co czyni tę podatność krytyczną.

Podatność typu path traversal i command injection w interfejsie webowym Allsky WebUI v2024.12.06_06 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Ze względu na brak wymagania jakiegokolwiek uwierzytelnienia oraz maksymalną ocenę CVSS 10.0, zagrożenie jest krytyczne.

Krytyczna podatność typu OS command injection (CWE-78) umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Uzyskała najwyższy możliwy wynik CVSS 10.0, co czyni ją podatnością najwyższego priorytetu.

W produkcie firmy Zenitel odkryto krytyczną podatność typu OS command injection umożliwiającą zdalne wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie niebezpieczną.