CVE-2026-73642
KrytyczneCVSS 9.2Streszczenie
Dayforce Payroll jest podatny na path traversal w funkcji pobierania plików. Nieuwierzytelniony atakujący może wysłać żądanie GET z parametrem ścieżki pliku ustawionym na dowolną ścieżkę, w tym bezwzględną ścieżkę lokalną. Podatność potwierdzono w wersji R2026.2.0, ale może dotyczyć innych wersji.
Ocena ryzyka
Atakujący może pobrać dowolne pliki z serwera, w tym dane wrażliwe, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się ograniczenie dostępu do funkcji pobierania plików, wdrożenie filtrowania ścieżek oraz kontakt z producentem w celu uzyskania poprawki.
Inne podatności w Dayforce Payroll
Zobacz wszystkie- CVE-2026-73641Średnie
Dayforce Payroll jest podatny na odbity XSS w wielu punktach końcowych. Atakujący może przygotować specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Podatność została potwierdzona tylko w wersji R2026.2.0, ale może dotyczyć innych wersji.
- CVE-2026-73640Krytyczne
Dayforce Payroll jest podatny na czasową ślepą iniekcję SQL w funkcji odzyskiwania hasła. Nieuwierzytelniony atakujący może przygotować żądanie GET z jednym z parametrów wypełnionym dowolnym zapytaniem SQL, co prowadzi do czasowej ślepej iniekcji SQL. Podatność potwierdzono w wersji R2026.2.0, ale może dotyczyć innych wersji.
Oryginalny opis (angielski, źródło NVD)
Dayforce Payroll is vulnerable to Path Traversal in file download functionality. An unauthenticated attacker can sent GET request with file path parameter set to any path including an absolute local file path. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version R2026.2.0 but may also affect other versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS