CVE-2026-89204
ŚrednieCVSS 5.4Streszczenie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na nieprawidłowym ograniczeniu dostępu do zapytań baz danych używanych do zarządzania podsieciami. Uwierzytelniony atakujący może czytać, modyfikować lub usuwać konfiguracje podsieci, co prowadzi do nieautoryzowanego ujawnienia informacji i manipulacji danymi.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do konfiguracji sieci, co może zakłócić działanie infrastruktury krytycznej i naruszyć integralność danych.
Rekomendacja
Zaleca się aktualizację do wersji V6.0 lub nowszej oraz ograniczenie dostępu do systemu dla nieupoważnionych użytkowników.
Inne podatności w RUGGEDCOM CROSSBOW
Zobacz wszystkie- CVE-2026-89206Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań modyfikacji stanu zaplanowanych akcji. Uwierzytelniony atakujący z minimalnymi uprawnieniami może ponowić, zatrzymać lub usunąć zaplanowane zadania bez odpowiedniej autoryzacji.
- CVE-2026-89205Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań planowania operacji specjalnych. Uwierzytelniony atakujący z minimalnymi uprawnieniami może zaplanować nieautoryzowane operacje na urządzeniach.
- CVE-2026-89203Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z nieprawidłowego ograniczenia dostępu do różnych zapytań baz danych, co pozwala użytkownikom na pobieranie informacji ogólnosystemowych niezgodnych z ich poziomem uprawnień. Uwierzytelniony atakujący może gromadzić wrażliwe dane o infrastrukturze, w tym o urządzeniach, stacjach, użytkownikach i zaplanowanych działaniach.
- CVE-2026-89202Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku odpowiednich kontroli autoryzacji dla żądań rozłączenia urządzeń. Uwierzytelniony atakujący z minimalnymi uprawnieniami może rozłączyć aktywne sesje innych użytkowników, w tym administratorów, co prowadzi do odmowy usługi.
- CVE-2026-89201Wysokie
W produkcie RUGGEDCOM CROSSBOW w wersjach przed V6.0 urządzenia nieprawidłowo walidują lub oczyszczają dane wejściowe w nazwach grup urządzeń lub obiektów przetwarzanych w procesie Bulk Export. Uwierzytelniony atakujący z określonymi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89200Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych wejściowych w polach Name i Value dla niestandardowych etykiet plików. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89199Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) umożliwia nieautoryzowany dostęp do wrażliwych elementów konfiguracji przez określone zapytania do bazy danych. Uwierzytelniony atakujący może pobrać poświadczenia administracyjne dla różnych systemów wewnętrznych, co prowadzi do nieautoryzowanego ujawnienia informacji i eskalacji uprawnień.
- CVE-2026-89198Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw plików firmware podczas przesyłania. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89197Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych w polu Value warunków powiadomień podczas konfiguracji profilu powiadomień. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89196Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw obiektów (facility names) w procesie importu/eksportu masowego. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V6.0). Affected devices do not properly restrict access to database queries used for subnet management. This could allow an authenticated attacker to read, modify, or delete subnet configurations, leading to unauthorized information disclosure and data manipulation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS