CVE-2026-33522
ŚrednieCVSS 5.3Streszczenie
Esri ArcGIS Server w wersjach od 11.3 do 12.0 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na aktualizację metadanych usługi. Poprawka jest dostępna dla wersji 12.0, 11.5 i 11.3.
Ocena ryzyka
Nieuwierzytelniony atakujący może modyfikować metadane usług, co może prowadzić do błędnej konfiguracji, dezinformacji lub dalszych ataków na użytkowników usług.
Rekomendacja
Zaktualizuj Esri ArcGIS Server do wersji objętej poprawką (12.0, 11.5 lub 11.3) i zaleca się aktualizację wersji nieobjętych wsparciem.
Inne podatności w Esri ArcGIS Server
Zobacz wszystkie- CVE-2026-50095Średnie
W Esri ArcGIS Server 11.1 i wcześniejszych na Windows i Linux występuje podatność typu stored cross-site scripting, która w niektórych konfiguracjach pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zapisanie plików zawierających złośliwy kod mogący wykonać się w kontekście przeglądarki ofiary. Poprawka jest dostępna dla wersji 12.1, 12.0, 11.5, 11.3 i 11.1.
- CVE-2026-33521Wysokie
W Esri ArcGIS Server w wersjach 12.0 i starszych występuje podatność na atak typu denial of service. Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane żądania, które w wyjątkowych warunkach wyczerpią wszystkie dostępne wątki robocze i odmówią usługi użytkownikom.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-9182Krytyczne
Esri ArcGIS Server zawiera podatność polegającą na nieograniczonym przesyłaniu plików. Nieuwierzytelniony atakujący może wykorzystać ten problem, przesyłając spreparowany plik do podatnego punktu końcowego. Udane wykorzystanie może umożliwić dowolne przesyłanie plików, potencjalnie prowadząc do innych ataków.
- CVE-2025-57870Krytyczne
W Esri ArcGIS Server w wersjach 11.3, 11.4 i 11.5 na Windows, Linux i Kubernetes występuje podatność SQL Injection. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia SQL poprzez określoną operację ArcGIS Feature Service.
- CVE-2025-67711Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67710Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67709Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67708Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67705Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
Esri ArcGIS Server versions 11.3 to 12.0 ONLY allows a remote, unauthenticated attacker to update service metadata. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.0, 11.5, and 11.3. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS