CVE-2026-15497

WysokieCVSS 7.3

Opublikowano: 12/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W SonicCloudOrg sonic-agent do wersji 2.7.2 wykryto podatność na zdalne wstrzykiwanie kodu w komponencie filtra uwierzytelniania JWT. Luka znajduje się w pliku ExchangeController.java i może być wykorzystana zdalnie. Exploit został publicznie ujawniony, a produkt nie jest już wspierany przez producenta.

Ocena ryzyka

Atakujący może zdalnie wstrzyknąć złośliwy kod, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania usług. Brak wsparcia producenta oznacza, że nie ma dostępnych oficjalnych łat.

Rekomendacja

Natychmiast zaprzestań używania sonic-agent w wersji 2.7.2 i starszych. Zastąp go alternatywnym, wspieranym rozwiązaniem lub zastosuj tymczasowe zabezpieczenia sieciowe (np. reguły firewall) blokujące dostęp do podatnego komponentu.

Inne podatności w SonicCloudOrg sonic-agent

CVE-2026-15496Średnie
W SonicCloudOrg sonic-agent do wersji 2.7.2 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji evalIsFailed w pliku GroovyScriptImpl.java. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Produkt nie jest już wspierany przez producenta.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in SonicCloudOrg sonic-agent up to 2.7.2. This affects an unknown function of the file sonic-server-controller/src/main/java/org/cloud/sonic/controller/controller/ExchangeController.java of the component JWT Authentication Filter. This manipulation causes code injection. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.