CVE-2026-19682
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 78 - wyżej niż 78% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie poleceń w Security Center pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami konta usługi.
Ocena ryzyka
Atakujący może przejąć kontrolę nad systemem, co prowadzi do pełnej kompromitacji poufności, integralności i dostępności danych.
Rekomendacja
Zastosuj dostępne aktualizacje zabezpieczeń od producenta oraz ogranicz dostęp do usługi z zaufanych sieci.
Inne podatności w Security Center
Zobacz wszystkie- CVE-2026-19681Krytyczne
Podatność na wstrzykiwanie poleceń w Security Center związana z przetwarzaniem plików pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym poprzez przesłanie specjalnie spreparowanego pliku.
- CVE-2026-19680Wysokie
Podatność na wstrzykiwanie SQL w Security Center umożliwia atakującemu dostęp do nieautoryzowanych danych z bazy danych aplikacji.
- CVE-2026-19679Wysokie
Podatność w walidacji danych wejściowych w obsłudze przesyłania plików w Security Center, gdzie niewystarczające oczyszczanie nazw przesyłanych plików może przyczynić się do problemu wstrzykiwania poleceń w dalszych etapach.
- CVE-2026-19639Średnie
Podatność niewłaściwej kontroli dostępu pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na przeglądanie ustawień spoza przypisanego zakresu.
- CVE-2026-19636Średnie
Tokeny CSRF były generowane w przewidywalny sposób, co zmniejsza ich skuteczność jako zabezpieczenia. Problem rozwiązano poprzez poprawę losowości i entropii generowania tokenów.
- CVE-2026-19635Wysokie
Podatność na lokalną eskalację uprawnień w Security Center. Atakujący z prawem zapisu do określonego pliku konfiguracyjnego może osiągnąć wykonanie dowolnego kodu z podwyższonymi uprawnieniami, bez interakcji użytkownika lub ofiary.
- CVE-2026-19631Średnie
Podatność SQL injection w Security Center umożliwia uwierzytelnionemu administratorowi wykonanie dowolnych zapytań SQL, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych, w tym poświadczeń.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability exists in Security Center where a remote, unauthenticated attacker could exploit this issue to execute arbitrary commands on the underlying operating system with the privileges of the service account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS