CVE-2026-18970

WysokieCVSS 7.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wykryto podatność w Rongzhitong Visual Integrated Command and Dispatch Platform do wersji 20260617, dotyczącą nieznanej funkcji w pliku /dm/dispatch/user/findAll. Manipulacja argumentem Name prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Ocena ryzyka

Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do ujawnienia, modyfikacji lub usunięcia danych w bazie danych, a także do przejęcia kont administratora.

Rekomendacja

Zaktualizuj platformę do najnowszej wersji z poprawką. Użyj sparametryzowanych zapytań i walidacji danych wejściowych w funkcji findAll.

Inne podatności w Rongzhitong Visual Integrated Command and Dispatch Platform

CVE-2026-18969Wysokie
Wykryto podatność w Rongzhitong Visual Integrated Command and Dispatch Platform do wersji 20260617, dotyczącą nieznanej funkcji w pliku /dm/dispatch/userinfo/upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in Rongzhitong Visual Integrated Command and Dispatch Platform up to 20260617. The affected element is an unknown function of the file /dm/dispatch/user/findAll. Executing a manipulation of the argument Name can lead to sql injection. It is possible to launch the attack remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.