CVE-2026-9854
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność w mechanizmie RBAC systemu SYS600 pozwala użytkownikom z dostępem do narzędzi inżynierskich na podniesienie swoich uprawnień do poziomu administratora na systemie Windows, co daje im pełną kontrolę nad maszyną.
Ocena ryzyka
Nieautoryzowane podniesienie uprawnień może prowadzić do pełnej kompromitacji systemu operacyjnego i danych na nim przechowywanych.
Rekomendacja
Należy ograniczyć dostęp do narzędzi inżynierskich oraz wdrożyć zasadę najmniejszych uprawnień, a także regularnie przeglądać uprawnienia użytkowników.
Inne podatności w SYS600
Zobacz wszystkie- CVE-2026-9853Wysokie
Podatność w systemie SYS600 pozwala każdemu użytkownikowi uwierzytelnionemu w systemie operacyjnym serwera na odczyt i modyfikację obiektów aplikacji bez uwierzytelnienia w samym systemie SYS600.
- CVE-2026-9852Średnie
W SYS600 istnieje podatność na wstrzykiwanie CSV. Złośliwe formuły mogą dodawać lub modyfikować dane w arkuszu kalkulacyjnym, wstawiać linki, eksfiltrować dane, a w niektórych przypadkach wykonywać złośliwy kod na maszynie użytkownika. Aby wykorzystać tę podatność, atakujący potrzebuje sposobu na tworzenie dowolnych komunikatów logów, co można osiągnąć przez normalne funkcje SCIL, podatność na wstrzykiwanie logów lub brokera SYS600.
Oryginalny opis (angielski, źródło NVD)
A vulnerability exists in SYS600 RBAC mechanism where users having access to the engineering tools could elevate their privileges to administrator level on the underlying Windows host, granting themselves full control over the host machine.