CVE-2026-50095
ŚrednieCVSS 6.1Streszczenie
W Esri ArcGIS Server 11.1 i wcześniejszych na Windows i Linux występuje podatność typu stored cross-site scripting, która w niektórych konfiguracjach pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zapisanie plików zawierających złośliwy kod mogący wykonać się w kontekście przeglądarki ofiary. Poprawka jest dostępna dla wersji 12.1, 12.0, 11.5, 11.3 i 11.1.
Ocena ryzyka
Złośliwy kod zapisany na serwerze może wykonać się w przeglądarkach użytkowników odwiedzających dotknięte zasoby, prowadząc do przejęcia sesji lub kradzieży danych.
Rekomendacja
Zaktualizuj Esri ArcGIS Server do wersji objętej poprawką (12.1, 12.0, 11.5, 11.3 lub 11.1) i zaleca się aktualizację wersji nieobjętych wsparciem.
Inne podatności w Esri ArcGIS Server
Zobacz wszystkie- CVE-2026-33522Średnie
Esri ArcGIS Server w wersjach od 11.3 do 12.0 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na aktualizację metadanych usługi. Poprawka jest dostępna dla wersji 12.0, 11.5 i 11.3.
- CVE-2026-33521Wysokie
W Esri ArcGIS Server w wersjach 12.0 i starszych występuje podatność na atak typu denial of service. Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane żądania, które w wyjątkowych warunkach wyczerpią wszystkie dostępne wątki robocze i odmówią usługi użytkownikom.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-9182Krytyczne
Esri ArcGIS Server zawiera podatność polegającą na nieograniczonym przesyłaniu plików. Nieuwierzytelniony atakujący może wykorzystać ten problem, przesyłając spreparowany plik do podatnego punktu końcowego. Udane wykorzystanie może umożliwić dowolne przesyłanie plików, potencjalnie prowadząc do innych ataków.
- CVE-2025-57870Krytyczne
W Esri ArcGIS Server w wersjach 11.3, 11.4 i 11.5 na Windows, Linux i Kubernetes występuje podatność SQL Injection. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia SQL poprzez określoną operację ArcGIS Feature Service.
- CVE-2025-67711Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67710Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67709Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67708Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67705Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
There is a stored cross site scripting issue in Esri ArcGIS Server 11.1 and earlier on Windows and Linux that in some configurations allows a remote unauthenticated attacker to store files that contain malicious code that may execute in the context of a victim’s browser. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.1, 12.0, 11.5, 11.3, and 11.1. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS