Aktywnie wykorzystywana w atakach
Acclaim Systems USAHERDS Use of Hard-Coded Credentials Vulnerability
Acclaim Systems - USAHERDS · Figuruje w katalogu CISA KEV od 2024-12-23. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable. Please contact the product developer for support and vulnerability mitigation.
CVE-2021-44207
WysokieCVSS 8.1KEVStreszczenie
Acclaim USAHERDS do wersji 7.4.0.1 używa twardo zakodowanych poświadczeń. Oznacza to, że hasła lub klucze są wbudowane w oprogramowanie, co ułatwia atakującemu uzyskanie nieautoryzowanego dostępu.
Ocena ryzyka
Ryzyko polega na tym, że osoba atakująca może wykorzystać znane, twardo zakodowane poświadczenia do zalogowania się do systemu i przejęcia nad nim kontroli, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową zmianę wszystkich domyślnych poświadczeń oraz aktualizację oprogramowania do najnowszej wersji, jeśli dostępna jest poprawka. Należy również rozważyć wdrożenie silnych haseł i mechanizmów uwierzytelniania wieloskładnikowego.
Powiązane podatności
- CVE-2026-87886WysokieAktywnie exploitowane
Podatność polega na lokalnym podniesieniu uprawnień wynikającym z niezabezpieczonych uprawnień do plików. Dotyczy produktów Acronis Backup plugin for cPanel & WHM (Linux) przed build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) przed build 1.8.11.638 oraz Acronis Backup plugin for DirectAdmin (Linux) przed build 1.2.3.238.
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85889Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure AI Foundry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-83944Krytyczne
Nieprawidłowa kontrola dostępu w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-77903Krytyczne
Obejście uwierzytelniania poprzez podszywanie się (spoofing) w Microsoft Dataverse pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70200Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70009Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Arc pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69865Krytyczne
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w Microsoft Container Registry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69399Krytyczne
Podatność typu Elevation of Privilege (podniesienie uprawnień) w usłudze Azure Arc. Szczegóły techniczne nie zostały podane w opisie.
Oryginalny opis (angielski, źródło NVD)
Acclaim USAHERDS through 7.4.0.1 uses hard-coded credentials.