CVE-2026-110633

WysokieCVSS 7.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

MyReport Updater w wersjach do 2.1.1 zawiera podatność na lokalne podniesienie uprawnień. Użytkownicy o niskich uprawnieniach mogą zmusić usługę SYSTEM do instalacji dostarczonych przez atakującego archiwów w dowolnych katalogach, co pozwala na zdobycie uprawnień SYSTEM.

Ocena ryzyka

Atakujący może zdobyć uprawnienia SYSTEM, co prowadzi do pełnej kontroli nad systemem i możliwości wykonania dowolnego kodu.

Rekomendacja

Zaktualizuj MyReport Updater do wersji nowszej niż 2.1.1 i ogranicz dostęp do usługi aktualizatora oraz interfejsu gRPC.

Inne podatności w MyReport Updater

CVE-2026-110632Wysokie
Report One MyReport Updater w wersjach do 2.1.1 udostępnia nieuwierzytelnioną usługę gRPC na porcie TCP 9095. Zdalni atakujący mogą przekierować aktualizator SYSTEM, wywołując metodę UpdateConfigReferent i wskazując złośliwy serwer referencyjny.

Oryginalny opis (angielski, źródło NVD)

MyReport Updater through 2.1.1 contains a local privilege escalation vulnerability that allows low-privileged users to make the SYSTEM updater service install attacker-supplied archives into arbitrary directories. Attackers can use UpdaterManager.exe over gRPC to set a malicious reference server and installLocation, planting a DLL like HID.dll loaded by osk.exe to gain SYSTEM privileges.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS