CVE-2026-64877

SQL injection w REST API ticketingu — dostęp do danych bazy

CVSS 9.4v4.0pub. 2026-07-21upd. 2026-08-18

Uwierzytelniony użytkownik bez uprawnień administratora może wykorzystać podatność SQL injection w ticketingowym REST API, aby uzyskać nieautoryzowany dostęp do wrażliwych danych przechowywanych w bazie danych urządzenia. Wysoki wynik CVSS 9.4 wskazuje na poważne ryzyko dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

An authenticated non-admin user can exploit a SQL injection flaw in the ticketing REST API to access sensitive data stored in the appliance database.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych (CWE-20) dostarczanych przez użytkownika do ticketingowego REST API. Atakujący, posiadając jedynie konto z podstawowymi uprawnieniami, może wstrzyknąć złośliwe zapytania SQL poprzez odpowiednio spreparowane żądania do API. Brak właściwej sanityzacji parametrów pozwala na manipulację logiką zapytań kierowanych do bazy danych urządzenia.

Skutki

Atakujący może uzyskać nieuprawniony dostęp do wrażliwych danych przechowywanych w bazie danych urządzenia, potencjalnie obejmujących dane konfiguracyjne, dane użytkowników oraz inne informacje poufne. Wysoki wpływ na systemy wtórne (SC:H, SI:H, SA:H) sugeruje ryzyko naruszenia poufności, integralności i dostępności w szerszym środowisku.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.tenable.com/security/tns-2026-19). Dodatkowo zaleca się ograniczenie dostępu do ticketingowego REST API wyłącznie do zaufanych sieci oraz monitorowanie logów API pod kątem podejrzanych zapytań.

Kogo dotyczy

Wersje wskazane w referencjach producenta (szczegóły dostępne pod adresem https://www.tenable.com/security/tns-2026-19)

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X