CVE-2026-2334
KrytyczneCVSS 9.4Streszczenie
W vsDesk v14.0101 uwierzytelniony atakujący z uprawnieniami administratora może ominąć walidację plików po stronie klienta w komponencie "Import via CSV" z powodu braku walidacji po stronie serwera. Umożliwia to przesłanie dowolnego pliku, co może prowadzić do zdalnego wykonania kodu (RCE) w kontekście aplikacji webowej.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad aplikacją webową, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zastosuj poprawkę od producenta (dostępną od wersji 14.0402) lub zaktualizuj vsDesk do wersji 14.0402 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in vsDesk v14.0101. An authenticated attacker with administrative privileges can bypass client-side file validation in the "Import via CSV" component due to a lack of server-side validation. This allows the upload of an arbitrary file, which can lead to Remote Code Execution (RCE) within the context of the web application. Apply patch from vendor https://vsdesk.ru/ . Versions 14.0402 and on have the patch.