CVE-2026-55083
KrytyczneCVSS 9.1Streszczenie
DHIS2 w wersjach od 2.42.0 do przed 2.42.5.1 oraz od 2.43.0 do przed 2.43.0.1 jest podatny na zdalne wykonanie kodu (RCE) poprzez niebezpieczną deserializację Java. Problem został naprawiony w wersjach 2.42.5.1, 2.43.0.1 i 2.44.
Ocena ryzyka
Zdalne wykonanie kodu może prowadzić do pełnej kompromitacji systemu DHIS2 i danych medycznych.
Rekomendacja
Zaktualizuj DHIS2 do jednej z naprawionych wersji: 2.42.5.1, 2.43.0.1 lub 2.44.
Inne podatności w DHIS2
Zobacz wszystkie- CVE-2026-55084Wysokie
DHIS2 (wersje 2.37-2.44) zawiera podatność SQL Injection w punkcie końcowym SqlView API. Uwierzytelniony użytkownik z dostępem do SqlView może wstrzykiwać dowolne zapytania SQL przez parametr filter, wykorzystując błąd w wyrażeniu PostgreSQL, a wynik jest odzwierciedlany w komunikacie błędu.
- CVE-2026-55082Wysokie
Podatność w systemie DHIS2 w punktach końcowych SQL View. Uwierzytelnieni użytkownicy z dostępem do SQL View mogą dostarczyć spreparowane wartości filtrów, które są interpolowane do generowanego SQL, co może prowadzić do nieautoryzowanego dostępu do danych poza zamierzonym zestawem wyników.
- CVE-2026-55081Wysokie
Podatność XSS w DHIS2 w wersjach 2.42 i 2.43 przed poprawkami z 2026-06-09 oraz w gałęzi rozwojowej 2.44. Atakujący może wstrzyknąć aktywny HTML lub JavaScript poprzez parametr scope w endpointcie OpenAPI HTML.
Oryginalny opis (angielski, źródło NVD)
DHIS2 is a flexible information system for data capture, management, validation, analytics and visualization. From versions 2.42.0 to before 2.42.5.1, and from versions 2.43.0 to before 2.43.0.1, DHIS2 is vulnerable to remote code execution (RCE) via unsafe Java deserialization. This issue has been patched in versions 2.42.5.1, 2.43.0.1, and 2.44.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS