CVE-2026-19679
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 73 - wyżej niż 73% wszystkich znanych CVE
Streszczenie
Podatność w walidacji danych wejściowych w obsłudze przesyłania plików w Security Center, gdzie niewystarczające oczyszczanie nazw przesyłanych plików może przyczynić się do problemu wstrzykiwania poleceń w dalszych etapach.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych poleceń na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaimplementuj rygorystyczną walidację i sanityzację nazw plików oraz stosuj bezpieczne metody obsługi plików, aby zapobiec wstrzykiwaniu poleceń.
Inne podatności w Security Center
Zobacz wszystkie- CVE-2026-19682Krytyczne
Podatność na wstrzykiwanie poleceń w Security Center pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami konta usługi.
- CVE-2026-19681Krytyczne
Podatność na wstrzykiwanie poleceń w Security Center związana z przetwarzaniem plików pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym poprzez przesłanie specjalnie spreparowanego pliku.
- CVE-2026-19680Wysokie
Podatność na wstrzykiwanie SQL w Security Center umożliwia atakującemu dostęp do nieautoryzowanych danych z bazy danych aplikacji.
- CVE-2026-19639Średnie
Podatność niewłaściwej kontroli dostępu pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na przeglądanie ustawień spoza przypisanego zakresu.
- CVE-2026-19636Średnie
Tokeny CSRF były generowane w przewidywalny sposób, co zmniejsza ich skuteczność jako zabezpieczenia. Problem rozwiązano poprzez poprawę losowości i entropii generowania tokenów.
- CVE-2026-19635Wysokie
Podatność na lokalną eskalację uprawnień w Security Center. Atakujący z prawem zapisu do określonego pliku konfiguracyjnego może osiągnąć wykonanie dowolnego kodu z podwyższonymi uprawnieniami, bez interakcji użytkownika lub ofiary.
- CVE-2026-19631Średnie
Podatność SQL injection w Security Center umożliwia uwierzytelnionemu administratorowi wykonanie dowolnych zapytań SQL, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych, w tym poświadczeń.
Oryginalny opis (angielski, źródło NVD)
An input validation vulnerability exists in Security Center's file upload handling, where insufficient sanitization of uploaded filenames could contribute to a downstream command injection issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS