CVE-2023-27462
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność w RUGGEDCOM CROSSBOW (wersje < V5.3) polega na braku sprawdzania odpowiednich uprawnień dla określonych zapytań odczytu w obsłudze zapytań klienta. Uwierzytelniony zdalny atakujący może uzyskać dostęp do danych, do których nie jest uprawniony.
Ocena ryzyka
Może prowadzić do nieautoryzowanego ujawnienia danych w systemie zarządzania dostępem. Narusza zasadę najmniejszych uprawnień i może skutkować wyciekiem informacji wrażliwych.
Rekomendacja
Zaktualizuj RUGGEDCOM CROSSBOW do wersji V5.3 lub nowszej. Zweryfikuj i ogranicz uprawnienia kont użytkowników.
Inne podatności w RUGGEDCOM CROSSBOW
Zobacz wszystkie- CVE-2023-37372Krytyczne
Zidentyfikowano podatność w RUGGEDCOM CROSSBOW (wszystkie wersje < V5.4), która jest podatna na atak typu SQL injection. Atakujący bez uwierzytelnienia może wykonać dowolne zapytania SQL na bazie danych serwera.
- CVE-2026-89206Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań modyfikacji stanu zaplanowanych akcji. Uwierzytelniony atakujący z minimalnymi uprawnieniami może ponowić, zatrzymać lub usunąć zaplanowane zadania bez odpowiedniej autoryzacji.
- CVE-2026-89205Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań planowania operacji specjalnych. Uwierzytelniony atakujący z minimalnymi uprawnieniami może zaplanować nieautoryzowane operacje na urządzeniach.
- CVE-2026-89204Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na nieprawidłowym ograniczeniu dostępu do zapytań baz danych używanych do zarządzania podsieciami. Uwierzytelniony atakujący może czytać, modyfikować lub usuwać konfiguracje podsieci, co prowadzi do nieautoryzowanego ujawnienia informacji i manipulacji danymi.
- CVE-2026-89203Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z nieprawidłowego ograniczenia dostępu do różnych zapytań baz danych, co pozwala użytkownikom na pobieranie informacji ogólnosystemowych niezgodnych z ich poziomem uprawnień. Uwierzytelniony atakujący może gromadzić wrażliwe dane o infrastrukturze, w tym o urządzeniach, stacjach, użytkownikach i zaplanowanych działaniach.
- CVE-2026-89202Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku odpowiednich kontroli autoryzacji dla żądań rozłączenia urządzeń. Uwierzytelniony atakujący z minimalnymi uprawnieniami może rozłączyć aktywne sesje innych użytkowników, w tym administratorów, co prowadzi do odmowy usługi.
- CVE-2026-89201Wysokie
W produkcie RUGGEDCOM CROSSBOW w wersjach przed V6.0 urządzenia nieprawidłowo walidują lub oczyszczają dane wejściowe w nazwach grup urządzeń lub obiektów przetwarzanych w procesie Bulk Export. Uwierzytelniony atakujący z określonymi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89200Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych wejściowych w polach Name i Value dla niestandardowych etykiet plików. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89199Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) umożliwia nieautoryzowany dostęp do wrażliwych elementów konfiguracji przez określone zapytania do bazy danych. Uwierzytelniony atakujący może pobrać poświadczenia administracyjne dla różnych systemów wewnętrznych, co prowadzi do nieautoryzowanego ujawnienia informacji i eskalacji uprawnień.
- CVE-2026-89198Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw plików firmware podczas przesyłania. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V5.3). The client query handler of the affected application fails to check for proper permissions for specific read queries. This could allow authenticated remote attackers to access data they are not authorized for.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS