CVE-2026-18885
KrytyczneCVSS 10.0Streszczenie
ServiceNow naprawił podatność polegającą na wstrzykiwaniu kodu w platformie ServiceNow AI. Podatność ta może umożliwić nieuwierzytelnionemu użytkownikowi, w określonych okolicznościach, wykonanie dowolnego kodu w platformie ServiceNow oraz uzyskanie dostępu do danych instancji lub ich modyfikację poza zamierzonym zakresem. ServiceNow wdrożył aktualizację zabezpieczeń dla instancji hostowanych oraz udostępnił aktualizację partnerom i klientom z własnym hostingiem. Obecnie nie są znane przypadki złośliwego wykorzystania.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu w platformie ServiceNow, co może prowadzić do pełnej kompromitacji instancji i danych w niej przechowywanych.
Rekomendacja
Zaleca się niezwłoczne zastosowanie odpowiednich aktualizacji lub aktualizację do wersji z poprawką, jeśli jeszcze tego nie zrobiono.
Oryginalny opis (angielski, źródło NVD)
ServiceNow has remediated a code injection vulnerability that was identified in the ServiceNow AI platform. This vulnerability could enable an unauthenticated user, in certain circumstances, to execute arbitrary code in the ServiceNow platform and gain access to, or modify, instance data beyond what was intended. ServiceNow deployed a security update to hosted instances and ServiceNow provided the update to our partners and self-hosted customers. We are not currently aware of malicious exploitation against ServiceNow instances. We recommend customers promptly apply appropriate updates or upgrade to a patched release if they have not already done so.