CVE-2026-89203
ŚrednieCVSS 4.3Streszczenie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z nieprawidłowego ograniczenia dostępu do różnych zapytań baz danych, co pozwala użytkownikom na pobieranie informacji ogólnosystemowych niezgodnych z ich poziomem uprawnień. Uwierzytelniony atakujący może gromadzić wrażliwe dane o infrastrukturze, w tym o urządzeniach, stacjach, użytkownikach i zaplanowanych działaniach.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych informacji o infrastrukturze, co może ułatwić dalsze ataki i naruszyć poufność danych.
Rekomendacja
Zaleca się aktualizację do wersji V6.0 lub nowszej oraz wdrożenie kontroli dostępu opartej na minimalnych uprawnieniach.
Inne podatności w RUGGEDCOM CROSSBOW
Zobacz wszystkie- CVE-2026-89206Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań modyfikacji stanu zaplanowanych akcji. Uwierzytelniony atakujący z minimalnymi uprawnieniami może ponowić, zatrzymać lub usunąć zaplanowane zadania bez odpowiedniej autoryzacji.
- CVE-2026-89205Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań planowania operacji specjalnych. Uwierzytelniony atakujący z minimalnymi uprawnieniami może zaplanować nieautoryzowane operacje na urządzeniach.
- CVE-2026-89204Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na nieprawidłowym ograniczeniu dostępu do zapytań baz danych używanych do zarządzania podsieciami. Uwierzytelniony atakujący może czytać, modyfikować lub usuwać konfiguracje podsieci, co prowadzi do nieautoryzowanego ujawnienia informacji i manipulacji danymi.
- CVE-2026-89202Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku odpowiednich kontroli autoryzacji dla żądań rozłączenia urządzeń. Uwierzytelniony atakujący z minimalnymi uprawnieniami może rozłączyć aktywne sesje innych użytkowników, w tym administratorów, co prowadzi do odmowy usługi.
- CVE-2026-89201Wysokie
W produkcie RUGGEDCOM CROSSBOW w wersjach przed V6.0 urządzenia nieprawidłowo walidują lub oczyszczają dane wejściowe w nazwach grup urządzeń lub obiektów przetwarzanych w procesie Bulk Export. Uwierzytelniony atakujący z określonymi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89200Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych wejściowych w polach Name i Value dla niestandardowych etykiet plików. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89199Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) umożliwia nieautoryzowany dostęp do wrażliwych elementów konfiguracji przez określone zapytania do bazy danych. Uwierzytelniony atakujący może pobrać poświadczenia administracyjne dla różnych systemów wewnętrznych, co prowadzi do nieautoryzowanego ujawnienia informacji i eskalacji uprawnień.
- CVE-2026-89198Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw plików firmware podczas przesyłania. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89197Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych w polu Value warunków powiadomień podczas konfiguracji profilu powiadomień. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89196Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw obiektów (facility names) w procesie importu/eksportu masowego. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V6.0). Affected devices do not properly restrict access to various database queries, allowing users to retrieve system-wide information that is not intended for their privilege level. This could allow an authenticated attacker to gather sensitive information about the system's infrastructure, including details on all devices, substations, users, and scheduled activities.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS