CVE-2026-96428
KrytyczneCVSS 9.3Streszczenie
Podatność SQL Injection w punkcie końcowym API /WebAgenda/SMBAjaxAutoComplete.do w Flowring Agentflow 4.0 w wersji przed 2025/08/08 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą parametru words.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia SQL, co może skutkować nieautoryzowanym dostępem do danych, ich modyfikacją lub zniszczeniem.
Rekomendacja
Zaktualizuj Flowring Agentflow 4.0 do wersji z 2025/08/08 lub nowszej oraz zabezpiecz punkt końcowy poprzez walidację danych wejściowych i parametryzację zapytań.
Inne podatności w Flowring Agentflow
Zobacz wszystkie- CVE-2026-96440Wysokie
Podatność Path Traversal w API /WebAgenda/download/uploadFile.jsp w Flowring Agentflow 4.0 przed 2023/03/24 pozwala zdalnym uwierzytelnionym użytkownikom zapisywać pliki w dowolnych lokalizacjach poza katalogiem przeznaczonym do przesyłania, poprzez parametr path.
- CVE-2026-96430Wysokie
Podatność Exposed Dangerous Method or Function w API /WebAgenda/SQLWin.do w Flowring Agentflow 4.0 przed 2026/08/28 pozwala zdalnym uwierzytelnionym użytkownikom wykonywać dowolne polecenia SQL poprzez parametr sql.
- CVE-2026-96431Krytyczne
Nieograniczone przesyłanie plików niebezpiecznego typu w punkcie końcowym API /WebAgenda/download/uploadFile.jsp w Flowring Agentflow 4.0 w wersji przed 2023/03/24 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnych poleceń systemowych za pomocą złośliwego pliku.
- CVE-2026-96429Krytyczne
Podatność SQL Injection w punkcie końcowym API /WebAgenda/SMBAjaxConfigProcess.do w Flowring Agentflow 4.0 w wersji przed 2025/08/08 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą parametru id.
Oryginalny opis (angielski, źródło NVD)
SQL Injection in the /WebAgenda/SMBAjaxAutoComplete.do API endpoint of Flowring Agentflow 4.0 version before 2025/08/08 allows remote attackers to execute arbitrary SQL commands via the words parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS