CVE-2025-68421

Wysokie

Opublikowano: 14/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Klient Comarch ERP Optima wykorzystuje twardo zakodowane hasło dla użytkownika bazy danych, które nie może być zmienione. Zdalny atakujący może uzyskać dostęp do bazy danych z podwyższonymi uprawnieniami, w tym możliwość wykonywania poleceń systemowych na serwerze.

Ocena ryzyka

Organizacja narażona jest na poważne ryzyko, ponieważ atakujący może uzyskać pełny dostęp do bazy danych i systemu, co może prowadzić do utraty danych lub przejęcia kontroli nad serwerem.

Rekomendacja

Zaleca się aktualizację do wersji 2026.4, w której problem został naprawiony, aby zminimalizować ryzyko nieautoryzowanego dostępu.

Inne podatności w Comarch ERP Optima

CVE-2025-68420Wysokie
Klient Comarch ERP Optima łączy się z bazą danych przy użyciu konta o wysokich uprawnieniach, niezależnie od konta aplikacji, na które loguje się użytkownik. Lokalny atakujący kontrolujący proces klienta może zrzucić jego pamięć, wydobyć dane uwierzytelniające i uzyskać dostęp do bazy danych z uprawnieniami administratora.

Oryginalny opis (angielski, źródło NVD)

Comarch ERP Optima client makes use of a hard-coded password for a database user. These credentials cannot be changed. It is possible for a remote attacker to gain an access to the database with elevated privileges including executing system commands on a server. This issue has been fixed in version 2026.4