CVE-2026-65937
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu ominięcie kontroli frontendu i wstrzyknięcie trwałego skryptu (XSS).
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj WhatsUp Gold do wersji 2026.0.2 lub nowszej.
Inne podatności w WhatsUp Gold
Zobacz wszystkie- CVE-2024-6670KrytyczneAktywnie exploitowane
W wersjach WhatsUp Gold wydanych przed 2024.0.0 podatność SQL Injection pozwala nieuwierzytelnionemu atakującemu na odzyskanie zaszyfrowanego hasła użytkownika.
- CVE-2024-4885KrytyczneAktywnie exploitowane
W WhatsUp Gold w wersjach przed 2023.1.3 występuje podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu. Funkcja WhatsUp.ExportUtilities.Export.GetFileWithoutZip pozwala na wykonanie poleceń z uprawnieniami iisapppool\nmconsole.
- CVE-2021-41318Średnie
W Progress WhatsUp Gold przed wersją 21.1.0 punkt końcowy aplikacji nie filtrował odpowiednio złośliwych danych wejściowych, co mogło pozwolić nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu w przeglądarce ofiary.
- CVE-2026-65941Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą nieuwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu w kontekście konta usługi IIS.
- CVE-2026-65940Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może zapisywać dowolne pliki w lokalizacji dostępnej przez sieć na serwerze hosta.
- CVE-2026-65939Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może utworzyć akcję LogToFile z dowolnym rozszerzeniem pliku w katalogu głównym IIS.
- CVE-2026-65938Średnie
W wersjach WhatsUp Gold przed 2026.0.2, luka w autoryzacji w API Scheduled Reports pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie ograniczonych akcji.
- CVE-2023-35759Średnie
W aplikacji WhatsUp Gold przed wersją 23.0.0 występuje luka związana z SNMP, która nieprawidłowo sanitizuje złośliwe dane wejściowe. Może to umożliwić nieautoryzowanemu atakującemu wykonanie dowolnego kodu w przeglądarce ofiary, co jest znane jako XSS.
Oryginalny opis (angielski, źródło NVD)
In WhatsUp Gold versions released before 2026.0.2, an authenticated attacker can bypass frontend controls and inject persistent script content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS