CVE-2026-73640
KrytyczneCVSS 9.3Streszczenie
Dayforce Payroll jest podatny na czasową ślepą iniekcję SQL w funkcji odzyskiwania hasła. Nieuwierzytelniony atakujący może przygotować żądanie GET z jednym z parametrów wypełnionym dowolnym zapytaniem SQL, co prowadzi do czasowej ślepej iniekcji SQL. Podatność potwierdzono w wersji R2026.2.0, ale może dotyczyć innych wersji.
Ocena ryzyka
Atakujący może manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub naruszenia integralności bazy danych.
Rekomendacja
Zaleca się wdrożenie parametryzowanych zapytań, ograniczenie dostępu do funkcji odzyskiwania hasła oraz kontakt z producentem w celu uzyskania poprawki.
Inne podatności w Dayforce Payroll
Zobacz wszystkie- CVE-2026-73641Średnie
Dayforce Payroll jest podatny na odbity XSS w wielu punktach końcowych. Atakujący może przygotować specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Podatność została potwierdzona tylko w wersji R2026.2.0, ale może dotyczyć innych wersji.
- CVE-2026-73642Krytyczne
Dayforce Payroll jest podatny na path traversal w funkcji pobierania plików. Nieuwierzytelniony atakujący może wysłać żądanie GET z parametrem ścieżki pliku ustawionym na dowolną ścieżkę, w tym bezwzględną ścieżkę lokalną. Podatność potwierdzono w wersji R2026.2.0, ale może dotyczyć innych wersji.
Oryginalny opis (angielski, źródło NVD)
Dayforce Payroll is vulnerable to Time Based-Blind SQL Injection in password recovery functionality. The unauthenticated attacker can prepare GET request with one of the parameters filled in with an arbitrary SQL query. The parameter is interpreted as part of SQL predicate resulting in Time-Based Blind SQL Injection. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version R2026.2.0 but may also affect other versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS