CVE-2026-110632

WysokieCVSS 8.1

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.65%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

Report One MyReport Updater w wersjach do 2.1.1 udostępnia nieuwierzytelnioną usługę gRPC na porcie TCP 9095. Zdalni atakujący mogą przekierować aktualizator SYSTEM, wywołując metodę UpdateConfigReferent i wskazując złośliwy serwer referencyjny.

Ocena ryzyka

Atakujący może zapisać pliki i wykonać kod z uprawnieniami SYSTEM, co prowadzi do pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj MyReport Updater do wersji nowszej niż 2.1.1 i zabezpiecz usługę gRPC poprzez uwierzytelnianie oraz ograniczenie dostępu sieciowego.

Inne podatności w MyReport Updater

CVE-2026-110633Wysokie
MyReport Updater w wersjach do 2.1.1 zawiera podatność na lokalne podniesienie uprawnień. Użytkownicy o niskich uprawnieniach mogą zmusić usługę SYSTEM do instalacji dostarczonych przez atakującego archiwów w dowolnych katalogach, co pozwala na zdobycie uprawnień SYSTEM.

Oryginalny opis (angielski, źródło NVD)

Report One MyReport Updater through 2.1.1 exposes an unauthenticated gRPC service on TCP port 9095 that allows remote attackers to redirect the SYSTEM updater by invoking the UpdateConfigReferent method. Attackers can point the updater to a malicious reference server serving modified module archives with matching MD5 digests to write files and execute code as SYSTEM.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS