CVE-2026-102457
ŚrednieCVSS 6.5Streszczenie
EasyFlow .NET firmy Digiwin zawiera podatność Arbitrary File Read. Uwierzytelnieni zdalni atakujący mogą wykorzystać tę lukę do pobrania dowolnych plików systemowych.
Ocena ryzyka
Atakujący może odczytać dowolne pliki systemowe, co może prowadzić do ujawnienia poufnych informacji, takich jak dane konfiguracyjne, hasła lub inne wrażliwe dane.
Rekomendacja
Zaktualizuj EasyFlow .NET do wersji zawierającej poprawkę ograniczającą dostęp do plików. Rozważ wdrożenie zasady minimalnych uprawnień dla kont usługowych.
Inne podatności w EasyFlow .NET
Zobacz wszystkie- CVE-2026-102459Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Reflected Cross-site Scripting. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod JavaScript w przeglądarce użytkownika poprzez ataki phishingowe.
- CVE-2026-102456Średnie
EasyFlow .NET firmy Digiwin zawiera podatność na wstrzykiwanie SQL. Zautentykowani zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytania zawartości bazy danych.
- CVE-2026-102454Wysokie
EasyFlow .NET opracowany przez Digiwin zawiera podatność na arbitralne przesyłanie plików. Uprzywilejowani zdalni atakujący mogą przesyłać i wykonywać backdoory typu web shell, co umożliwia wykonanie dowolnego kodu na serwerze.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-102455Krytyczne
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
- CVE-2026-5964Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na SQL Injection, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-5963Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-12581Wysokie
EasyFlow .NET opracowany przez Digiwin ma podatność na atak typu Session Fixation. Nieautoryzowani zdalni atakujący mogą zastąpić określony identyfikator sesji użytkownika, co pozwala im uzyskać uprawnienia użytkownika po jego zalogowaniu.
- CVE-2026-12580Średnie
EasyFlow .NET opracowany przez Digiwin ma podatność na przechowywane Cross-Site Scripting, która pozwala uwierzytelnionym zdalnym atakującym na wstrzykiwanie trwałego kodu JavaScript, wykonywanego w przeglądarkach użytkowników po załadowaniu strony.
Oryginalny opis (angielski, źródło NVD)
EasyFlow .NET developed by Digiwin has an Arbitrary File Read vulnerability. Authenticated remote attackers can exploit this vulnerability to download arbitrary system files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS