CVE-2025-68420

Wysokie

Opublikowano: 14/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Klient Comarch ERP Optima łączy się z bazą danych przy użyciu konta o wysokich uprawnieniach, niezależnie od konta aplikacji, na które loguje się użytkownik. Lokalny atakujący kontrolujący proces klienta może zrzucić jego pamięć, wydobyć dane uwierzytelniające i uzyskać dostęp do bazy danych z uprawnieniami administratora.

Ocena ryzyka

Ryzyko dla organizacji polega na możliwości nieautoryzowanego dostępu do bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji. Atakujący nie musi być zalogowany, co zwiększa potencjalne zagrożenie.

Rekomendacja

Zaleca się aktualizację aplikacji do wersji 2026.4, aby usunąć tę podatność. Dodatkowo, warto rozważyć ograniczenie dostępu do klienta tylko dla zaufanych użytkowników.

Inne podatności w Comarch ERP Optima

CVE-2025-68421Wysokie
Klient Comarch ERP Optima wykorzystuje twardo zakodowane hasło dla użytkownika bazy danych, które nie może być zmienione. Zdalny atakujący może uzyskać dostęp do bazy danych z podwyższonymi uprawnieniami, w tym możliwość wykonywania poleceń systemowych na serwerze.

Oryginalny opis (angielski, źródło NVD)

Comarch ERP Optima client connects to a database using a high privileged account regardless of an application account to which a user logs in. It is possible for a local attacker who controls the client process to dump it's memory, extract credentials and use them to gain a privileged access to the database. In order to exploit this vulnerability, the client application has to be already configured, but a user does not have to be logged in. This issue has been fixed in version 2026.4