CVE-2026-81349
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Niewłaściwa neutralizacja specjalnych elementów w poleceniu systemowym (wstrzyknięcie polecenia) w Azure HDInsights umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.
Ocena ryzyka
Autoryzowany użytkownik może eskalować uprawnienia, co może prowadzić do nieautoryzowanego dostępu do danych i zasobów w chmurze.
Rekomendacja
Zastosuj poprawki od producenta i ogranicz uprawnienia użytkowników w Azure HDInsights.
Powiązane podatności
- CVE-2026-93680Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.12.8 zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa.
- CVE-2026-90868Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która w określonych konfiguracjach może pozwolić na wykonanie dowolnych poleceń.
- CVE-2026-90866Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność typu path traversal, która może pozwolić delegowanemu administratorowi hosta na dostęp do lokalizacji poza jego zakresem uprawnień, potencjalnie umożliwiając zdalne wykonanie kodu.
- CVE-2026-90865Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która w określonych konfiguracjach może pozwolić na wykonanie dowolnych poleceń z podwyższonymi uprawnieniami.
- CVE-2026-90864Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność typu path traversal, która może pozwolić delegowanemu administratorowi hosta na dostęp do plików lub ich modyfikację poza jego zakresem uprawnień.
- CVE-2026-90863Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows ma brakującą autoryzację w interfejsie administracyjnym, co może pozwolić delegowanemu administratorowi hosta na przekroczenie zakresu uprawnień, potencjalnie umożliwiając wykonanie dowolnych poleceń z podwyższonymi uprawnieniami i pełne przejęcie serwera.
- CVE-2026-84295Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.6 i 2025.0.3 na Windows zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na dostęp do poufnych informacji, w tym danych uwierzytelniających administratora.
- CVE-2026-62131Krytyczne
Zoho Flow w wersjach do 2.14.5 włącznie zawiera podatność na nieuwierzytelnione wstrzyknięcie obiektu PHP, która może pozwolić atakującemu na manipulację obiektami w aplikacji.
- CVE-2026-62018Krytyczne
Gunslinger w wersjach do 1.11 włącznie zawiera podatność na nieuwierzytelnione wstrzyknięcie obiektu PHP, która może pozwolić atakującemu na manipulację obiektami w aplikacji.
- CVE-2026-62017Krytyczne
Good Homes w wersjach do 1.3.13 włącznie zawiera podatność na nieuwierzytelnione wstrzyknięcie obiektu PHP, która może pozwolić atakującemu na manipulację obiektami w aplikacji.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements used in an os command ('os command injection') in Azure HDInsights allows an authorized attacker to elevate privileges over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS