CVE-2026-96429
KrytyczneCVSS 9.3Streszczenie
Podatność SQL Injection w punkcie końcowym API /WebAgenda/SMBAjaxConfigProcess.do w Flowring Agentflow 4.0 w wersji przed 2025/08/08 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą parametru id.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy oraz do dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj Flowring Agentflow 4.0 do wersji z 2025/08/08 lub nowszej oraz wdroż walidację i parametryzację zapytań SQL w interfejsie API.
Inne podatności w Flowring Agentflow
Zobacz wszystkie- CVE-2026-96440Wysokie
Podatność Path Traversal w API /WebAgenda/download/uploadFile.jsp w Flowring Agentflow 4.0 przed 2023/03/24 pozwala zdalnym uwierzytelnionym użytkownikom zapisywać pliki w dowolnych lokalizacjach poza katalogiem przeznaczonym do przesyłania, poprzez parametr path.
- CVE-2026-96430Wysokie
Podatność Exposed Dangerous Method or Function w API /WebAgenda/SQLWin.do w Flowring Agentflow 4.0 przed 2026/08/28 pozwala zdalnym uwierzytelnionym użytkownikom wykonywać dowolne polecenia SQL poprzez parametr sql.
- CVE-2026-96431Krytyczne
Nieograniczone przesyłanie plików niebezpiecznego typu w punkcie końcowym API /WebAgenda/download/uploadFile.jsp w Flowring Agentflow 4.0 w wersji przed 2023/03/24 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnych poleceń systemowych za pomocą złośliwego pliku.
- CVE-2026-96428Krytyczne
Podatność SQL Injection w punkcie końcowym API /WebAgenda/SMBAjaxAutoComplete.do w Flowring Agentflow 4.0 w wersji przed 2025/08/08 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą parametru words.
Oryginalny opis (angielski, źródło NVD)
SQL Injection in the /WebAgenda/SMBAjaxConfigProcess.do API endpoint of Flowring Agentflow 4.0 version before 2025/08/08 allows remote attackers to execute arbitrary SQL commands via the id parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS