CVE-2026-78047
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność na trwały cross-site scripting (XSS) w funkcji planowania zadań w WatchGuard Dimension pozwala administratorowi z niskimi uprawnieniami na wstrzyknięcie dowolnego HTML/JavaScript do tych pól, które następnie wykonuje się w sesji przeglądarki każdego innego użytkownika.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia sesji innych użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście ich uprawnień.
Rekomendacja
Zaleca się aktualizację WatchGuard Dimension do wersji, która odpowiednio sanityzuje dane wejściowe w funkcji planowania zadań, oraz ograniczenie uprawnień administratorów o niskim poziomie dostępu.
Inne podatności w WatchGuard Dimension
Zobacz wszystkie- CVE-2026-78174Krytyczne
Podatność w WatchGuard Dimension: dziennik diagnostyczny interfejsu webowego przechowuje niezasłonięte identyfikatory sesji zalogowanych użytkowników. Administrator o niskich uprawnieniach może pobrać ten dziennik i wyodrębnić token sesji Super Administratora, co umożliwia przejęcie konta.
- CVE-2026-78618Średnie
Wada logiki biznesowej w WatchGuard Dimension umożliwia uwierzytelnionemu administratorowi wyzwolenie wielu operacji backendowych w ramach jednego logicznego przepływu poprzez wysłanie specjalnie spreparowanego żądania.
- CVE-2026-78617Średnie
Punkt końcowy logowania do WatchGuard Dimension nie egzekwuje skutecznego ograniczania szybkości ani blokady konta domyślnie, co pozwala zdalnemu atakującemu na automatyczne zgadywanie haseł do kont użytkowników. Jeśli ustawienie blokady konta jest włączone, próby brute-force są blokowane po określonej liczbie nieudanych prób, ale to ustawienie nie jest domyślnie włączone.
- CVE-2026-78616Średnie
Podatność na trwały atak XSS w konfiguracji zaufanego certyfikatu CA w WatchGuard Dimension umożliwia uwierzytelnionemu administratorowi wykonanie dowolnego JavaScriptu w przeglądarce innego uwierzytelnionego administratora poprzez zapisanie starannie spreparowanego certyfikatu.
- CVE-2026-78615Średnie
Podatność na odbity atak XSS na stronie szczegółów raportu w WatchGuard Dimension umożliwia atakującemu wykonanie dowolnego JavaScriptu w przeglądarce uwierzytelnionego użytkownika za pomocą specjalnie spreparowanego adresu URL.
- CVE-2026-78614Wysokie
WatchGuard Dimension zawiera uwierzytelnioną podatność na wstrzyknięcie SQL w funkcji raportów audytowych, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administracji raportami wykonanie dowolnych poleceń jako użytkownik procesu WebUI Dimension poprzez wysyłanie specjalnie spreparowanych żądań.
- CVE-2026-78613Wysokie
WatchGuard Dimension zawiera uwierzytelnioną podatność na wstrzyknięcie SQL w funkcji przeglądarki logów, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administracji raportami wykonanie dowolnych poleceń jako użytkownik procesu WebUI Dimension poprzez wysyłanie specjalnie spreparowanych żądań.
- CVE-2026-78612Wysokie
WatchGuard Dimension zawiera uwierzytelnioną podatność na wstrzyknięcie SQL w funkcji raportów zaplanowanych, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administracji raportami wykonanie dowolnych poleceń jako użytkownik procesu WebUI Dimension poprzez wysyłanie specjalnie spreparowanych żądań.
- CVE-2026-78610Wysokie
Interfejs webowy WatchGuard Dimension udostępnia akcję zmiany hasła administratora, która nie jest chroniona przed CSRF. Atakujący, który może nakłonić przeglądarkę uwierzytelnionego administratora globalnego do odwiedzenia spreparowanego linku lub strony, może zmienić hasło administratora na wartość wybraną przez atakującego bez zgody administratora.
- CVE-2026-78500Średnie
Podatność na ślepą podróbkę żądań po stronie serwera (SSRF) w konfiguracji testu serwera bazy danych WatchGuard Dimension umożliwia uwierzytelnionemu uprzywilejowanemu atakującemu enumerację dostępnych usług sieciowych na sąsiednich systemach sieciowych.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in WatchGuard Dimension's task scheduling feature allows a low-privileged authenticated administrator to inject arbitrary HTML/JavaScript into these fields, which then executes in the browser session of any other user.