CVE-2026-33521
WysokieCVSS 7.5Streszczenie
W Esri ArcGIS Server w wersjach 12.0 i starszych występuje podatność na atak typu denial of service. Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane żądania, które w wyjątkowych warunkach wyczerpią wszystkie dostępne wątki robocze i odmówią usługi użytkownikom.
Ocena ryzyka
Może to doprowadzić do niedostępności usług GIS dla użytkowników organizacji.
Rekomendacja
Zaktualizuj ArcGIS Server do wersji z poprawką (12.0, 11.5, 11.3 lub 11.1) i rozważ aktualizację wersji nieobsługiwanych.
Inne podatności w Esri ArcGIS Server
Zobacz wszystkie- CVE-2026-50095Średnie
W Esri ArcGIS Server 11.1 i wcześniejszych na Windows i Linux występuje podatność typu stored cross-site scripting, która w niektórych konfiguracjach pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zapisanie plików zawierających złośliwy kod mogący wykonać się w kontekście przeglądarki ofiary. Poprawka jest dostępna dla wersji 12.1, 12.0, 11.5, 11.3 i 11.1.
- CVE-2026-33522Średnie
Esri ArcGIS Server w wersjach od 11.3 do 12.0 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na aktualizację metadanych usługi. Poprawka jest dostępna dla wersji 12.0, 11.5 i 11.3.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-9182Krytyczne
Esri ArcGIS Server zawiera podatność polegającą na nieograniczonym przesyłaniu plików. Nieuwierzytelniony atakujący może wykorzystać ten problem, przesyłając spreparowany plik do podatnego punktu końcowego. Udane wykorzystanie może umożliwić dowolne przesyłanie plików, potencjalnie prowadząc do innych ataków.
- CVE-2025-57870Krytyczne
W Esri ArcGIS Server w wersjach 11.3, 11.4 i 11.5 na Windows, Linux i Kubernetes występuje podatność SQL Injection. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia SQL poprzez określoną operację ArcGIS Feature Service.
- CVE-2025-67711Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67710Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67709Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67708Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67705Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
There is s denial of service vulnerability in Esri ArcGIS Server versions 12.0 and prior that may allow a remote, unauthenticated attacker to supply crafted requests that may, under exceptional circumstances, consume all available worker threads and deny service to users. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.0, 11.5, 11.3, and 11.1. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS