CWE-78

Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

A critical OS command injection vulnerability has been identified in the Haiwell IoT Cloud HMI Gateway product. The vulnerability exists in the Net Check feature accessible via the /setting endpoint. The cmdPing Socket.io event fails to properly sanitize user-supplied input before passing it to the underlying operating system, allowing an attacker to inject and execute arbitrary OS commands with root privileges.

ColdFusion is affected by an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

VeloCloud Orchestrator (VCO) w wersji on-prem zawiera podatność typu command injection (CWE-78), która pozwala zdalnemu atakującemu bez uwierzytelnienia uzyskać dostęp do uprzywilejowanych funkcji wewnętrznych systemu. Podatność jest aktywnie wykorzystywana i otrzymała maksymalny wynik CVSS 10.0.

Podatność w ManageEngine ADAudit Plus przed wersją 8606 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) poprzez podatny endpoint API agenta. Krytyczny poziom zagrożenia (CVSS 10.0) wynika z braku wymagań uwierzytelnienia i możliwości pełnego przejęcia kontroli nad systemem.

Urządzenia Autel Maxi Charger Single z firmware do wersji V1.03.51 zawierają krytyczną podatność typu OS command injection w endpointcie /test dostępnym na porcie TCP 9002. Nieuwierzytelniony atakujący może wykonać dowolne polecenia systemowe na urządzeniu bez żadnych uprawnień.

W aplikacji 9Router (wersje 0.4.30–0.4.36) middleware proxy.js nie wymuszał uwierzytelnienia dla ścieżek /api/cli-tools/* oraz /api/mcp/*, umożliwiając nieuwierzytelnionym atakującym rejestrację własnych wtyczek i wykonanie dowolnych poleceń systemowych. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla każdej instancji 9Router dostępnej z sieci.

Ruflo w wersjach przed 3.16.3 udostępniał endpointy MCP bridge bez jakiegokolwiek uwierzytelnienia, umożliwiając nieuwierzytelnionemu atakującemu zdalne wykonanie poleceń (RCE) w kontenerze. Podatność jest krytyczna — atakujący sieciowy bez żadnych uprawnień może przejąć kontrolę nad środowiskiem agenta.

Podatność typu shellcode injection w obsłudze repozytoriów Mercurial przez usługę obs-service-tar_scm (przed wersją 0.12.4) umożliwia nieautoryzowanym atakującym wykonanie dowolnego kodu. Zagrożenie jest krytyczne, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika, a zakres oddziaływania wykracza poza bezpośredni komponent.

Usługa ms_service.pl w urządzeniach Storage Concentrator (SC i SCVM) zawiera podatność typu command injection, umożliwiającą nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń z uprawnieniami root. Podatność jest krytyczna ze względu na brak wymogu uwierzytelnienia i pełny zakres dostępu do systemu.

Produkt Storage Concentrator (SC oraz SCVM) zawiera podatność typu command injection w skrypcie debug.pl, dostępnym bez uwierzytelnienia. Luka ma ocenę CVSS 10.0 i umożliwia zdalnemu atakującemu przejęcie pełnej kontroli nad systemem z uprawnieniami root.

Błąd w logice uwierzytelniania platformy orkiestracyjnej Kestra pozwala nieuwierzytelnionemu atakującemu ominąć Basic Auth i tworzyć oraz uruchamiać dowolne workflow. Bezpośrednim skutkiem jest unauthenticated Remote Code Execution z uprawnieniami root wewnątrz kontenera Kestra worker.

Podatność w module uruchamiania kontenerów w Google Gemini CLI oraz GitHub Action run-gemini-cli umożliwia zdalnemu, nieuprzywilejowanemu atakującemu wykonanie dowolnego kodu na poziomie hosta przed uruchomieniem sandboxa. Ocena CVSS 10.0 oznacza maksymalne ryzyko — podatność nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Krytyczna podatność typu command injection w serwerze MariaDB pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń powłoki systemowej. Dotyczy konfiguracji z włączoną opcją `wsrep_notify_cmd` (replikacja Galera Cluster) i uzyskała maksymalny wynik CVSS 10.0.

Krytyczna podatność typu command injection w Ivanti Sentry umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych z uprawnieniami root. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko — brak wymagań dotyczących uwierzytelnienia i interakcji użytkownika czyni tę lukę wyjątkowo niebezpieczną.

Podatność typu command injection w oprogramowaniu Acer Connect M6E 5G pozwala na wstrzyknięcie dowolnych poleceń systemowych poprzez temat wiadomości FieldX MDM adb. Jest to podatność krytyczna (CVSS 10.0), nie wymagająca uwierzytelnienia ani interakcji użytkownika.

Dalfox w trybie serwera REST API (dalfox server) domyślnie nasłuchuje na 0.0.0.0:6664 bez wymaganego uwierzytelnienia, co pozwala dowolnemu atakującemu osiągalnemu sieciowo na wykonanie dowolnych poleceń powłoki na hoście. Podatność jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

CtrlPanel w wersjach 1.1.1 i wcześniejszych zawiera krytyczną podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń na serwerze (RCE) poprzez webowy instalator. Podatność jest aktywnie eksploatowana na wolności.

PDF Export Module używany w produktach DHTMLX Gantt i Scheduler zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) przez brak sanityzacji parametru "data". Atakujący niewymagający uwierzytelnienia może przejąć kontrolę nad serwerem, co czyni tę podatność krytyczną (CVSS 10.0).