CVE-2026-9852
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W SYS600 istnieje podatność na wstrzykiwanie CSV. Złośliwe formuły mogą dodawać lub modyfikować dane w arkuszu kalkulacyjnym, wstawiać linki, eksfiltrować dane, a w niektórych przypadkach wykonywać złośliwy kod na maszynie użytkownika. Aby wykorzystać tę podatność, atakujący potrzebuje sposobu na tworzenie dowolnych komunikatów logów, co można osiągnąć przez normalne funkcje SCIL, podatność na wstrzykiwanie logów lub brokera SYS600.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego kodu na komputerach użytkowników, co może prowadzić do przejęcia systemu, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się ograniczenie możliwości tworzenia logów przez nieautoryzowanych użytkowników oraz aktualizację SYS600 do wersji z poprawką, jeśli dostępna.
Inne podatności w SYS600
Zobacz wszystkie- CVE-2026-9854Wysokie
Podatność w mechanizmie RBAC systemu SYS600 pozwala użytkownikom z dostępem do narzędzi inżynierskich na podniesienie swoich uprawnień do poziomu administratora na systemie Windows, co daje im pełną kontrolę nad maszyną.
- CVE-2026-9853Wysokie
Podatność w systemie SYS600 pozwala każdemu użytkownikowi uwierzytelnionemu w systemie operacyjnym serwera na odczyt i modyfikację obiektów aplikacji bez uwierzytelnienia w samym systemie SYS600.
Oryginalny opis (angielski, źródło NVD)
A CSV injection vulnerability exists in SYS600. Injected malicious formulas can add or modify data to the spreadsheet, insert links, exfiltrate data, and in some cases, depending on how the user has their environment configured, execute malicious code on the user’s machine. To exploit this issue attackers would need a way to create arbitrary log messages. This could be achieved through normal functionality via SCIL scripts, a log injection vulnerability, or via the SYS600 broker. This vulnerability affects all Windows users regardless of their privilege level who can run the Notify service and export the log.