CVE-2026-50110
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Storage Concentrator (SC & SCVM) zawiera zakodowane na stałe poświadczenia dla wielu wewnętrznych usług, przechowywane w pliku konfiguracyjnym. Mimo że poświadczenia są zakodowane, kodowanie to można odwrócić do postaci jawnego tekstu.
Ocena ryzyka
Ujawnienie tych poświadczeń może umożliwić atakującemu nieautoryzowany dostęp do baz danych, licencji, usług replikacji i integracji zewnętrznych, co stwarza ryzyko przejęcia wielu połączonych systemów.
Rekomendacja
Należy natychmiast zmienić wszystkie zakodowane na stałe poświadczenia na unikalne, silne hasła oraz usunąć je z plików konfiguracyjnych, stosując bezpieczne zarządzanie sekretami.
Inne podatności w Storage Concentrator
Zobacz wszystkie- CVE-2026-56415Krytyczne
Storage Concentrator (SC i SCVM) zawiera podatność na wstrzykiwanie poleceń w skrypcie debug.pl, dostępną bez uwierzytelnienia. Zdalny atakujący może wysłać specjalnie spreparowane żądanie HTTP z złośliwym ładunkiem, który jest przetwarzany bez odpowiedniej sanitacji wejścia, co prowadzi do wykonania dowolnego polecenia z uprawnieniami roota.
- CVE-2026-56413Krytyczne
Podatność typu command injection w usłudze ms_service.pl Storage Concentrator (SC & SCVM) pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń z uprawnieniami roota poprzez wysłanie spreparowanego pakietu sieciowego na domyślny port TCP 9000.
- CVE-2026-55721Krytyczne
Podatność SQL injection w Storage Concentrator (SC & SCVM) występuje przez wartości ciasteczek przetwarzane przez skrypty login.pl i debug.pl. Niezabezpieczone dane z ciasteczek są bezpośrednio włączane do zapytań do bazy danych, co pozwala nieuwierzytelnionemu atakującemu na manipulację zapytaniami i wyodrębnienie wrażliwych informacji, takich jak tokeny sesji, hashe haseł i tajne klucze.
- CVE-2026-50040Średnie
Storage Concentrator (SC i SCVM) jest podatny na odbite cross-site scripting z powodu nieoczyszczonej treści zwracanej w stronach błędów 404. Atakujący może stworzyć złośliwy URL, który po odwiedzeniu przez uwierzytelnionego użytkownika powoduje wykonanie dowolnego skryptu w kontekście aplikacji w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Storage Concentrator (SC & SCVM) contains hardcoded credentials for numerous internal services embedded within a configuration file. While the credentials are stored in an encoded format, the encoding can be reversed to plaintext. The exposed credentials span a broad range of internal services, including database accounts, licensing, replication services, and third-party integrations, meaning successful exploitation of this vulnerability could provide an attacker with unauthorized access to multiple interconnected systems.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS