CVE-2026-92200
WysokieCVSS 7.8Streszczenie
Podatność nieprawidłowego przypisania uprawnień w Quest Foglight for Databases umożliwia lokalną eskalację uprawnień. Problem występuje w instalatorze produktu i wynika z nieprawidłowych uprawnień do folderu używanego przez produkt.
Ocena ryzyka
Lokalny atakujący z możliwością wykonania kodu o niskich uprawnieniach może wykorzystać błędne uprawnienia folderu do eskalacji i wykonania kodu w kontekście SYSTEM.
Rekomendacja
Zaktualizuj Quest Foglight for Databases do wersji z poprawką i zweryfikuj uprawnienia folderów instalacyjnych produktu.
Inne podatności w Quest Foglight for Databases
Zobacz wszystkie- CVE-2026-92199Wysokie
W Quest Foglight for Databases w metodzie symmetricDecrypt użyto zaszyfrowanego na stałe klucza kryptograficznego. Atakujący z możliwością uruchomienia kodu z niskimi uprawnieniami może wykorzystać tę lukę do eskalacji uprawnień i wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92198Wysokie
W metodzie getSource w Quest Foglight for Databases występuje niewłaściwe ograniczenie odwołań XML External Entity (XXE). Nieuwierzytelniony zdalny atakujący może wymusić na parserze XML dostęp do wskazanego URI i ujawnić informacje w kontekście aplikacji.
- CVE-2026-92197Wysokie
W metodzie unzipFile w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92196Wysokie
W metodzie renderTemplateString w Quest Foglight for Databases brakuje właściwej walidacji ciągu znaków podanego przez użytkownika przed przetworzeniem go przez silnik szablonów, co prowadzi do server-side template injection. Uwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście SYSTEM.
- CVE-2026-92195Wysokie
W skrypcie loadEvolveLicense w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92194Wysokie
W skrypcie loadManageServerLicense w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92193Średnie
Podatność w klasie FileServlet w Quest Foglight for Databases pozwala uwierzytelnionemu zdalnemu atakującemu ujawnić poufne informacje. Problem wynika z braku właściwej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach.
- CVE-2026-92192Wysokie
W skrypcie installLicense w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92191Wysokie
W funkcji runScript w Quest Foglight for Databases występuje nieprawidłowa autoryzacja przed udostępnieniem funkcjonalności. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92187Wysokie
W metodzie extractAndCreateUploadInfoList w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Quest Foglight for Databases Incorrect Permission Assignment Local Privilege Escalation Vulnerability. This vulnerability allows local attackers to escalate privileges on affected installations of Quest Foglight for Databases. An attacker must first obtain the ability to execute low-privileged code on the target system in order to exploit this vulnerability. The specific flaw exists within the product installer. The issue results from incorrect permissions on a folder used by the product. An attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of SYSTEM. Was ZDI-CAN-31118.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS