CVE-2026-78615
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność na odbity atak XSS na stronie szczegółów raportu w WatchGuard Dimension umożliwia atakującemu wykonanie dowolnego JavaScriptu w przeglądarce uwierzytelnionego użytkownika za pomocą specjalnie spreparowanego adresu URL.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika lub wykonania nieautoryzowanych działań w kontekście jego konta. Atakujący może wykorzystać tę podatność do phishingu lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację WatchGuard Dimension do najnowszej wersji, która zawiera poprawkę. Należy również edukować użytkowników, aby nie klikali w podejrzane linki i regularnie przeglądać logi pod kątem nietypowych żądań.
Inne podatności w WatchGuard Dimension
Zobacz wszystkie- CVE-2026-78174Krytyczne
Podatność w WatchGuard Dimension: dziennik diagnostyczny interfejsu webowego przechowuje niezasłonięte identyfikatory sesji zalogowanych użytkowników. Administrator o niskich uprawnieniach może pobrać ten dziennik i wyodrębnić token sesji Super Administratora, co umożliwia przejęcie konta.
- CVE-2026-78618Średnie
Wada logiki biznesowej w WatchGuard Dimension umożliwia uwierzytelnionemu administratorowi wyzwolenie wielu operacji backendowych w ramach jednego logicznego przepływu poprzez wysłanie specjalnie spreparowanego żądania.
- CVE-2026-78617Średnie
Punkt końcowy logowania do WatchGuard Dimension nie egzekwuje skutecznego ograniczania szybkości ani blokady konta domyślnie, co pozwala zdalnemu atakującemu na automatyczne zgadywanie haseł do kont użytkowników. Jeśli ustawienie blokady konta jest włączone, próby brute-force są blokowane po określonej liczbie nieudanych prób, ale to ustawienie nie jest domyślnie włączone.
- CVE-2026-78616Średnie
Podatność na trwały atak XSS w konfiguracji zaufanego certyfikatu CA w WatchGuard Dimension umożliwia uwierzytelnionemu administratorowi wykonanie dowolnego JavaScriptu w przeglądarce innego uwierzytelnionego administratora poprzez zapisanie starannie spreparowanego certyfikatu.
- CVE-2026-78614Wysokie
WatchGuard Dimension zawiera uwierzytelnioną podatność na wstrzyknięcie SQL w funkcji raportów audytowych, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administracji raportami wykonanie dowolnych poleceń jako użytkownik procesu WebUI Dimension poprzez wysyłanie specjalnie spreparowanych żądań.
- CVE-2026-78613Wysokie
WatchGuard Dimension zawiera uwierzytelnioną podatność na wstrzyknięcie SQL w funkcji przeglądarki logów, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administracji raportami wykonanie dowolnych poleceń jako użytkownik procesu WebUI Dimension poprzez wysyłanie specjalnie spreparowanych żądań.
- CVE-2026-78612Wysokie
WatchGuard Dimension zawiera uwierzytelnioną podatność na wstrzyknięcie SQL w funkcji raportów zaplanowanych, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administracji raportami wykonanie dowolnych poleceń jako użytkownik procesu WebUI Dimension poprzez wysyłanie specjalnie spreparowanych żądań.
- CVE-2026-78610Wysokie
Interfejs webowy WatchGuard Dimension udostępnia akcję zmiany hasła administratora, która nie jest chroniona przed CSRF. Atakujący, który może nakłonić przeglądarkę uwierzytelnionego administratora globalnego do odwiedzenia spreparowanego linku lub strony, może zmienić hasło administratora na wartość wybraną przez atakującego bez zgody administratora.
- CVE-2026-78500Średnie
Podatność na ślepą podróbkę żądań po stronie serwera (SSRF) w konfiguracji testu serwera bazy danych WatchGuard Dimension umożliwia uwierzytelnionemu uprzywilejowanemu atakującemu enumerację dostępnych usług sieciowych na sąsiednich systemach sieciowych.
- CVE-2026-78499Średnie
Podatność na podróbkę żądań po stronie serwera (SSRF) w konfiguracji testu serwera FTP w WatchGuard Dimension umożliwia uwierzytelnionemu uprzywilejowanemu atakującemu enumerację dostępnych usług sieciowych na sąsiednich systemach sieciowych.
Oryginalny opis (angielski, źródło NVD)
A Reflected Cross-Site Scripting (XSS) vulnerability in WatchGuard Dimension's report detail page allows an attacker to execute arbitrary JavaScript in a authenticated user's browser with a specially crafted URL.