CVE-2026-32167
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Nieprawidłowa neutralizacja znaków specjalnych w poleceniach SQL (wstrzyknięcie SQL) w SQL Server pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.
Ocena ryzyka
Uwierzytelniony użytkownik może wykorzystać wstrzyknięcie SQL do eskalacji uprawnień w obrębie SQL Server, co może prowadzić do nieautoryzowanego dostępu do danych lub funkcji administracyjnych.
Rekomendacja
Zastosuj dostępne aktualizacje zabezpieczające SQL Server i weryfikuj uprawnienia kont bazodanowych zgodnie z zasadą najmniejszych uprawnień.
Inne podatności w SQL Server
Zobacz wszystkie- CVE-2026-67636Krytyczne
Podatność typu out-of-bounds read w SQL Server pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu przez sieć.
- CVE-2026-67378Krytyczne
Podatność polegająca na dereferencji niezaufanego wskaźnika w SQL Server pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu przez sieć.
- CVE-2026-65669Krytyczne
Niewłaściwa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (wstrzyknięcie) w SQL Server umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-54118Krytyczne
Podatność w SQL Server umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sieci poprzez deserializację niezaufanych danych.
- CVE-2026-54117Krytyczne
Podatność w SQL Server umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sieci poprzez deserializację niezaufanych danych.
- CVE-2026-96956Wysokie
SQL Server zawiera podatność typu przepełnienie bufora na stosie, która pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-94520Średnie
SQL Server zawiera podatność polegającą na użyciu ciągu formatującego kontrolowanego zewnętrznie, co umożliwia autoryzowanemu atakującemu wywołanie odmowy usługi przez sieć. Atakujący może wykorzystać tę lukę, aby zakłócić dostępność usługi.
- CVE-2026-88089Średnie
SQL Server zawiera podatność polegającą na przepełnieniu bufora na stercie, co umożliwia autoryzowanemu atakującemu wykonanie kodu lokalnie. Atakujący może wykorzystać tę lukę do uruchomienia dowolnego kodu w kontekście procesu SQL Server.
- CVE-2026-88086Średnie
SQL Server zawiera podatność polegającą na odczycie poza zakresem bufora, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć sąsiedzką. Atakujący może wykorzystać tę lukę do uzyskania dostępu do poufnych danych.
- CVE-2026-88085Średnie
Przepełnienie bufora na stercie w SQL Server umożliwia uwierzytelnionemu atakującemu lokalne podniesienie uprawnień. Podatność występuje w komponencie bazy danych i wymaga wcześniejszego dostępu do systemu.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges locally.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS