CVE-2023-33592
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
W systemie Lost and Found Information System v1.0 odkryto podatność na wstrzyknięcie SQL w komponencie /php-lfis/admin/?page=system_info/contact_information.
Ocena ryzyka
Podatność ta może umożliwić atakującym dostęp do wrażliwych danych w bazie danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację systemu do najnowszej wersji oraz wprowadzenie filtracji danych wejściowych w celu zapobiegania wstrzyknięciom SQL.
Powiązane podatności
- CVE-2026-97785Krytyczne
Występuje nieprawidłowa weryfikacja uwierzytelniania w usłudze AAD App Proxy. Nieuwierzytelniony atakujący może wykorzystać tę lukę do podniesienia uprawnień w sieci.
- CVE-2026-83938Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w usłudze Azure Kubernetes Configuration Service. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-110063Krytyczne
Występuje nieprawidłowe rozwiązywanie dowiązań przed dostępem do pliku (podążanie za dowiązaniem) w VM Inspector dla Azure Virtual Machines. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-109122Krytyczne
Usługa zarządzania siecią w oprogramowaniu Kiloview E3 NDI encoder nie oczyszcza jednego pola używanego podczas konfiguracji tras statycznych przez API zarządzania webowego. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji tras statycznych może wykonać dowolne polecenia systemu operacyjnego jako root, a złośliwa konfiguracja przetrwa ponowne uruchomienia.
- CVE-2026-105014Krytyczne
Występuje nieprawidłowa neutralizacja znaków specjalnych używanych w poleceniu (wstrzyknięcie poleceń) w Azure Pipelines. Nieuwierzytelniony atakujący może wykonać kod w sieci.
- CVE-2026-114625Krytyczne
W on-prem wersji VeloCloud Orchestrator (VCO) występuje luka w zabezpieczeniach, która może pozwolić zdalnemu atakującemu na dostęp do uprzywilejowanej wewnętrznej funkcjonalności i wpłynięcie na host VCO. Każdy uwierzytelniony użytkownik może uzyskać uprawnienia operatora i podszyć się pod lokalnego użytkownika "superuser operator", uzyskując dostęp do funkcji przeznaczonych wyłącznie do użytku wewnętrznego, które nie powinny być dostępne zdalnie.
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
Oryginalny opis (angielski, źródło NVD)
Lost and Found Information System v1.0 was discovered to contain a SQL injection vulnerability via the component /php-lfis/admin/?page=system_info/contact_information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS