CVE-2026-101142
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W Eleveo Quality Management 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej funkcjonalności pliku Scorecard.jsp komponentu Questionnaire Audio Upload. Manipulacja prowadzi do path traversal. Atak może być inicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do odczytu dowolnych plików na serwerze, co może prowadzić do ujawnienia poufnych danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do systemu, walidację ścieżek plików i kontakt z producentem w celu uzyskania poprawki.
Inne podatności w Eleveo Quality Management
Zobacz wszystkie- CVE-2026-101146Średnie
W Eleveo Quality Management 9.7.0 odkryto lukę bezpieczeństwa. Problem dotyczy funkcji UtilsService.createAndSaveAudit w pliku /qm/cz.zoom.scorecard.webui.Scorecard/QMUtilsService komponentu GWT RPC Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101143Średnie
W Eleveo Quality Management 9.7.0 znaleziono podatność. Dotyczy ona nieznanej funkcjonalności pliku /qm/cz.zoom.scorecard.webui.Scorecard/cz.zoom.scorecard.webui.Scorecard/QMBODownload. Manipulacja prowadzi do ujawnienia informacji. Atak może być uruchomiony zdalnie. Exploit został upubliczniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-85409Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność path traversal w funkcji QuestionnaireService.runDataExportNow komponentu Questionnaire Service. Manipulacja argumentem file_name umożliwia zdalny atak. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-85408Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność w komponencie Conversation Handler, w pliku /enc-fwk-data/api/v3/conversations/<ID>/events. Manipulacja argumentem createdBy powoduje dynamicznie określane atrybuty obiektów, co umożliwia zdalny atak. Exploit jest publiczny, a producent nie odpowiedział.
- CVE-2026-85407Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność w komponencie Conversation Handler, w pliku /enc-fwk-data/api/v3/conversations/<ID>/events. Manipulacja argumentem labels prowadzi do odmowy usługi (DoS). Atak może być wykonany zdalnie. Exploit jest publiczny, a producent nie odpowiedział.
- CVE-2026-85406Niskie
Podatność w Eleveo Quality Management 9.7.0 dotyczy nieznanego kodu komponentu Conversation Review. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Eleveo Quality Management 9.7.0. Affected by this vulnerability is an unknown functionality of the file Scorecard.jsp of the component Questionnaire Audio Upload. The manipulation leads to path traversal. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS