CVE-2026-103946
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność wstrzyknięcia SQL w Nessus umożliwia uwierzytelnionemu użytkownikowi odczyt lub modyfikację danych przechowywanych przez Nessus.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do danych, do których nie powinien mieć uprawnień, lub je zmodyfikować, co narusza poufność i integralność danych.
Rekomendacja
Zaktualizować Nessus do wersji zawierającej poprawkę oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Nessus
Zobacz wszystkie- CVE-2017-11506Wysokie
Nessus 6.x przed wersją 6.11 nie weryfikuje certyfikatu TLS menedżera podczas nawiązywania początkowego połączenia. To może umożliwić ataki typu man-in-the-middle.
- CVE-2017-7850Wysokie
Nessus w wersji 6.10.x przed 6.10.5 jest podatny na lokalne podniesienie uprawnień z powodu niebezpiecznych uprawnień podczas działania w trybie agenta.
- CVE-2017-7199Wysokie
Nessus w wersjach od 6.6.2 do 6.10.3 zawiera lukę związaną z niebezpiecznymi uprawnieniami, która może umożliwić lokalnemu atakującemu eskalację uprawnień, gdy oprogramowanie działa w trybie agenta.
- CVE-2026-57588Niskie
Podatność SQL injection w Nessus umożliwia atakującemu stworzenie złośliwego pliku wyników skanowania, który po zaimportowaniu przez uprzywilejowanego użytkownika wstrzykuje złośliwy kod SQL do bazy danych wyników skanowania, potencjalnie umożliwiając wyciek danych tych wyników.
- CVE-2026-57587Średnie
Podatność SQL injection w Nessus pozwala zdalnemu, nieuwierzytelnionemu atakującemu, który kontroluje rekordy odwrotnego DNS dla skanowanego hosta, na wstrzyknięcie złośliwego SQL do bazy danych wyników skanowania, co może umożliwić wyciek danych wyników skanowania.
- CVE-2023-3251Średnie
W aplikacji Nessus przed wersją 10.6.0 występuje podatność typu pass-back, która pozwala uwierzytelnionemu zdalnemu atakującemu z uprawnieniami administratora na ujawnienie zapisanych poświadczeń SMTP.
Oryginalny opis (angielski, źródło NVD)
An SQL injection vulnerability could allow an authenticated user to read or modify data stored by Nessus.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS