CVE-2026-106076
KrytyczneCVSS 9.0Streszczenie
Podatność umożliwia uwierzytelnionemu peerowi transferu organizacji wstrzyknięcie SQL do bazy danych konfiguracji źródłowego serwera Veeam Backup for Microsoft 365. Prowadzi to do między-tenantowego odczytu i zapisu danych konfiguracyjnych oraz zdalnego wykonania kodu w kontekście konta usługi PostgreSQL.
Ocena ryzyka
Atakujący z uprawnieniami peera transferu organizacji może odczytać i zmodyfikować dane konfiguracyjne innych tenantów oraz wykonać dowolny kod jako konto usługi PostgreSQL. Ryzyko dotyczy organizacji korzystających z Veeam Backup for Microsoft 365 w konfiguracji z transferem między organizacjami.
Rekomendacja
Zaktualizuj Veeam Backup for Microsoft 365 do wersji zawierającej poprawkę. Ogranicz zaufanie do peerów transferu organizacji i stosuj zasadę minimalnych uprawnień dla kont usług.
Inne podatności w Veeam Backup for Microsoft 365
Zobacz wszystkie- CVE-2026-106078Średnie
Nieuwierzytelniony atakujący może obejść uwierzytelnianie REST API za pomocą sfałszowanego tokenu federacji i otrzymywać odpowiedzi z punktów końcowych REST API, które nie wywołują usługi backupu Veeam Backup for Microsoft 365.
- CVE-2026-106077Wysokie
Podatność pozwala użytkownikowi z rolą Administrator w Veeam Backup for Microsoft 365 na odczyt dowolnych plików na serwerze backupu z uprawnieniami LocalSystem.
- CVE-2025-64394Średnie
Niskouprzywilejowany użytkownik lokalny może zapisać dowolne pliki z uprawnieniami SYSTEM podczas instalacji Veeam Backup for Microsoft 365, co może prowadzić do eskalacji uprawnień lub odmowy działania.
Oryginalny opis (angielski, źródło NVD)
A vulnerability allowing an authenticated organization-transfer peer to inject SQL into the configuration database of the source Veeam Backup for Microsoft 365 server, leading to cross-tenant read and write of configuration data and remote code execution as the PostgreSQL service account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS