CVE-2026-2298
KrytyczneStreszczenie
Podatność CVE-2026-2298 dotyczy niewłaściwej neutralizacji ograniczników argumentów w poleceniach, co prowadzi do możliwości manipulacji protokołem usług internetowych w Salesforce Marketing Cloud Engagement. Problem ten dotyczy wersji przed 30 stycznia 2026 roku.
Ocena ryzyka
Organizacja może być narażona na ataki, które wykorzystują tę podatność do manipulacji danymi i operacjami w systemie, co może prowadzić do utraty integralności danych.
Rekomendacja
Zaleca się aktualizację Salesforce Marketing Cloud Engagement do najnowszej wersji, aby usunąć tę podatność przed upływem wskazanego terminu.
Powiązane podatności
- CVE-2026-7826Krytyczne
Podatność w FalkorDB przed wersją 4.18.4 powoduje odczyt poza granicami pamięci sterty w funkcji BufferSerializerIOv2_ReadBuffer. Zdalny atakujący, który może wydawać polecenia replikacji Redis (np. gdy instancja nie ma skonfigurowanego hasła), może wysłać spreparowany strumień RDB z polem długości pod-bufora przekraczającym pozostały rozmiar bufora. Jedyna kontrola granic to ASSERT(), który jest kompilowany w wersjach release, więc memcpy() czyta poza przydzieloną pamięcią.
- CVE-2026-5759Krytyczne
Podwójne zwolnienie i użycie po zwolnieniu w funkcji RdbLoadDeletedNodes w dekoderach grafów RDB w FalkorDB przed wersją 4.18.1. Zdalny atakujący, który może wydawać polecenia replikacji Redis, może wysłać spreparowany strumień RDB, w którym długość bufora usuniętych węzłów nie jest wielokrotnością sizeof(NodeID). Kontrola długości opiera się na ASSERT(), który jest pomijany w wersjach release, więc funkcja kontynuuje po zwolnieniu bufora, czyta go i zwalnia ponownie.
- CVE-2026-96207Krytyczne
Nieprawidłowa walidacja certyfikatów w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-94510Krytyczne
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Microsoft Bookings pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-88131Krytyczne
Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-77900Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-69435Krytyczne
Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') vulnerability in Salesforce Marketing Cloud Engagement allows Web Services Protocol Manipulation. This issue affects Marketing Cloud Engagement: before January 30th, 2026.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS