CVE-2026-93968
NiskieCVSS 3.8Streszczenie
W oprogramowaniu SxDevOps w wersjach 1.0/1.1 wykryto podatność w funkcji update w pliku backend/rbac/serializers.py, w komponencie UserSerializer. Manipulacja danymi wejściowymi może prowadzić do nieprawidłowego zarządzania uprawnieniami, a atak można przeprowadzić zdalnie. Producent został powiadomiony i szybko wydał poprawioną wersję (patch 2b4bf8585c3e731e7a8af30801ea46680bc783f9).
Ocena ryzyka
Podatność pozwala zdalnemu atakującemu na nieprawidłowe zarządzanie uprawnieniami, co może skutkować eskalacją uprawnień w systemie. Organizacje korzystające z SxDevOps są narażone na nieautoryzowany dostęp do funkcji wymagających wyższych uprawnień.
Rekomendacja
Należy jak najszybciej zastosować dostępną poprawkę (patch 2b4bf8585c3e731e7a8af30801ea46680bc783f9) lub zaktualizować SxDevOps do wersji zawierającej tę poprawkę. Zaleca się również weryfikację, kto ma dostęp do funkcji zarządzania użytkownikami.
Inne podatności w SxDevOps
Zobacz wszystkie- CVE-2026-93971Średnie
W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto słabość w nieznanej funkcji pliku backend/sxdevops/settings.py, która prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie. Dostępna jest poprawka o nazwie 2b4bf8585c3e731e7a8af30801ea46680bc783f9.
- CVE-2026-93970Wysokie
W aiyiyi121 SxDevOps 1.0/1.1 wykryto lukę w pliku backend/sxdevops/settings.py w komponencie Settings Handler. Manipulacja prowadzi do użycia zakodowanych na stałe poświadczeń. Atak można przeprowadzić zdalnie. Poprawka została zidentyfikowana jako 2b4bf8585c3e731e7a8af30801ea46680bc783f9.
- CVE-2026-93969Wysokie
W aiyiyi121 SxDevOps 1.0/1.1 zidentyfikowano podatność w funkcji ensure_default_superuser w pliku rbac/services.py. Manipulacja prowadzi do użycia zakodowanych na stałe poświadczeń. Atak można przeprowadzić zdalnie. Poprawka została zidentyfikowana jako 2b4bf8585c3e731e7a8af30801ea46680bc783f9.
- CVE-2026-93967Średnie
W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji generate_host_task w pliku backend/aiops/services.py (komponent Command Handler). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.
- CVE-2026-93966Średnie
W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji paramiko.SSHClient.exec_command w pliku backend/ops/host_tasks.py (komponent TASK_RUN_COMMAND). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.
- CVE-2026-93965Średnie
W oprogramowaniu SxDevOps w wersjach 1.0 i 1.1 wykryto podatność w funkcji subprocess.Popen w pliku backend/aiops/services.py (komponent MCP STDIO Server Management). Manipulacja argumentem endpoint_or_command prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 2b4bf8585c3e731e7a8af30801ea46680bc783f9.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in aiyiyi121 SxDevOps 1.0/1.1. This affects the function update of the file backend/rbac/serializers.py of the component UserSerializer. Executing a manipulation can lead to improper privilege management. The attack can be executed remotely. This patch is called 2b4bf8585c3e731e7a8af30801ea46680bc783f9. It is best practice to apply a patch to resolve this issue. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.