CVE-2026-15496

ŚrednieCVSS 6.3

Opublikowano: 12/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.16%

Percentyl 63 - wyżej niż 63% wszystkich znanych CVE

Streszczenie

W SonicCloudOrg sonic-agent do wersji 2.7.2 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji evalIsFailed w pliku GroovyScriptImpl.java. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Produkt nie jest już wspierany przez producenta.

Ocena ryzyka

Organizacja narażona jest na zdalne przejęcie kontroli nad systemem poprzez wykonanie dowolnych poleceń systemowych, co może prowadzić do pełnej kompromitacji serwera i wycieku danych.

Rekomendacja

Natychmiast zaprzestań używania sonic-agent w wersji 2.7.2 i starszych. Ze względu na brak wsparcia producenta, należy rozważyć migrację do alternatywnego rozwiązania lub zastosowanie tymczasowych reguł WAF blokujących podejrzane żądania.

Inne podatności w SonicCloudOrg sonic-agent

CVE-2026-15497Wysokie
W SonicCloudOrg sonic-agent do wersji 2.7.2 wykryto podatność na zdalne wstrzykiwanie kodu w komponencie filtra uwierzytelniania JWT. Luka znajduje się w pliku ExchangeController.java i może być wykorzystana zdalnie. Exploit został publicznie ujawniony, a produkt nie jest już wspierany przez producenta.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in SonicCloudOrg sonic-agent up to 2.7.2. The impacted element is the function evalIsFailed of the file sonic-agent/src/main/java/org/cloud/sonic/agent/tests/script/GroovyScriptImpl.java of the component Groovy Script Handler. The manipulation results in os command injection. The attack can be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.