CVE-2026-102455
KrytyczneCVSS 9.8Streszczenie
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem, co może prowadzić do całkowitej kompromitacji systemu, kradzieży danych lub przerwania działania usług. Jest to krytyczna podatność.
Rekomendacja
Należy natychmiast zaktualizować EasyFlow .NET do najnowszej wersji zawierającej poprawkę. Należy również ograniczyć dostęp do serwera i monitorować nietypową aktywność.
Inne podatności w EasyFlow .NET
Zobacz wszystkie- CVE-2026-102459Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Reflected Cross-site Scripting. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod JavaScript w przeglądarce użytkownika poprzez ataki phishingowe.
- CVE-2026-102457Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Arbitrary File Read. Uwierzytelnieni zdalni atakujący mogą wykorzystać tę lukę do pobrania dowolnych plików systemowych.
- CVE-2026-102456Średnie
EasyFlow .NET firmy Digiwin zawiera podatność na wstrzykiwanie SQL. Zautentykowani zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytania zawartości bazy danych.
- CVE-2026-102454Wysokie
EasyFlow .NET opracowany przez Digiwin zawiera podatność na arbitralne przesyłanie plików. Uprzywilejowani zdalni atakujący mogą przesyłać i wykonywać backdoory typu web shell, co umożliwia wykonanie dowolnego kodu na serwerze.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-5964Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na SQL Injection, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-5963Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-12581Wysokie
EasyFlow .NET opracowany przez Digiwin ma podatność na atak typu Session Fixation. Nieautoryzowani zdalni atakujący mogą zastąpić określony identyfikator sesji użytkownika, co pozwala im uzyskać uprawnienia użytkownika po jego zalogowaniu.
- CVE-2026-12580Średnie
EasyFlow .NET opracowany przez Digiwin ma podatność na przechowywane Cross-Site Scripting, która pozwala uwierzytelnionym zdalnym atakującym na wstrzykiwanie trwałego kodu JavaScript, wykonywanego w przeglądarkach użytkowników po załadowaniu strony.
Oryginalny opis (angielski, źródło NVD)
EasyFlow .NET developed by Digiwin has a Insecure Deserialization vulnerability. Unauthenticated remote attackers can execute arbitrary code on the server by sending maliciously crafted serialized content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS