CVE-2026-73641
ŚrednieCVSS 5.1Streszczenie
Dayforce Payroll jest podatny na odbity XSS w wielu punktach końcowych. Atakujący może przygotować specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Podatność została potwierdzona tylko w wersji R2026.2.0, ale może dotyczyć innych wersji.
Ocena ryzyka
Ryzyko kradzieży danych sesji, przejęcia konta użytkownika lub wykonania nieautoryzowanych działań w kontekście ofiary.
Rekomendacja
Zaleca się aktualizację Dayforce Payroll do najnowszej dostępnej wersji oraz edukację użytkowników w zakresie klikania w podejrzane linki.
Inne podatności w Dayforce Payroll
Zobacz wszystkie- CVE-2026-73642Krytyczne
Dayforce Payroll jest podatny na path traversal w funkcji pobierania plików. Nieuwierzytelniony atakujący może wysłać żądanie GET z parametrem ścieżki pliku ustawionym na dowolną ścieżkę, w tym bezwzględną ścieżkę lokalną. Podatność potwierdzono w wersji R2026.2.0, ale może dotyczyć innych wersji.
- CVE-2026-73640Krytyczne
Dayforce Payroll jest podatny na czasową ślepą iniekcję SQL w funkcji odzyskiwania hasła. Nieuwierzytelniony atakujący może przygotować żądanie GET z jednym z parametrów wypełnionym dowolnym zapytaniem SQL, co prowadzi do czasowej ślepej iniekcji SQL. Podatność potwierdzono w wersji R2026.2.0, ale może dotyczyć innych wersji.
Oryginalny opis (angielski, źródło NVD)
Dayforce Payroll is vulnerable to Reflected XSS in multiple endpoints. An attacker can prepare a specially crafted URL that, when opened, results in arbitrary JavaScript execution in the victim's browser. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version R2026.2.0 but may also affect other versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS