CVE-2026-12581
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
EasyFlow .NET opracowany przez Digiwin ma podatność na atak typu Session Fixation. Nieautoryzowani zdalni atakujący mogą zastąpić określony identyfikator sesji użytkownika, co pozwala im uzyskać uprawnienia użytkownika po jego zalogowaniu.
Ocena ryzyka
Atakujący mogą przejąć kontrolę nad kontem użytkownika, co prowadzi do nieautoryzowanego dostępu do danych i funkcji systemu. To może skutkować poważnymi konsekwencjami dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się implementację mechanizmów ochrony przed atakami typu Session Fixation, takich jak regeneracja identyfikatorów sesji po zalogowaniu. Należy również monitorować i analizować logi sesji użytkowników.
Inne podatności w EasyFlow .NET
Zobacz wszystkie- CVE-2026-102459Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Reflected Cross-site Scripting. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod JavaScript w przeglądarce użytkownika poprzez ataki phishingowe.
- CVE-2026-102457Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Arbitrary File Read. Uwierzytelnieni zdalni atakujący mogą wykorzystać tę lukę do pobrania dowolnych plików systemowych.
- CVE-2026-102456Średnie
EasyFlow .NET firmy Digiwin zawiera podatność na wstrzykiwanie SQL. Zautentykowani zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytania zawartości bazy danych.
- CVE-2026-102454Wysokie
EasyFlow .NET opracowany przez Digiwin zawiera podatność na arbitralne przesyłanie plików. Uprzywilejowani zdalni atakujący mogą przesyłać i wykonywać backdoory typu web shell, co umożliwia wykonanie dowolnego kodu na serwerze.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-102455Krytyczne
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
- CVE-2026-5964Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na SQL Injection, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-5963Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-12580Średnie
EasyFlow .NET opracowany przez Digiwin ma podatność na przechowywane Cross-Site Scripting, która pozwala uwierzytelnionym zdalnym atakującym na wstrzykiwanie trwałego kodu JavaScript, wykonywanego w przeglądarkach użytkowników po załadowaniu strony.
Oryginalny opis (angielski, źródło NVD)
EasyFlow .NET developed by Digiwin has a Session Fixation vulnerability. If unauthenticated remote attackers replace a specific session ID for a user, they can gain the user's privilege once the user logs in.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS