CVE-2023-27310
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V5.2) mechanizm obsługi zapytań klienta nie sprawdza odpowiednich uprawnień przy przypisywaniu grup do kont użytkowników. Uwierzytelniony zdalny atakujący może przypisać grupy administracyjne do kont o niskich uprawnieniach.
Ocena ryzyka
Może to prowadzić do eskalacji uprawnień i przejęcia kontroli administracyjnej nad systemem przez nieuprawnionego użytkownika.
Rekomendacja
Zaktualizuj RUGGEDCOM CROSSBOW do wersji V5.2 lub nowszej.
Inne podatności w RUGGEDCOM CROSSBOW
Zobacz wszystkie- CVE-2023-37372Krytyczne
Zidentyfikowano podatność w RUGGEDCOM CROSSBOW (wszystkie wersje < V5.4), która jest podatna na atak typu SQL injection. Atakujący bez uwierzytelnienia może wykonać dowolne zapytania SQL na bazie danych serwera.
- CVE-2026-89206Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań modyfikacji stanu zaplanowanych akcji. Uwierzytelniony atakujący z minimalnymi uprawnieniami może ponowić, zatrzymać lub usunąć zaplanowane zadania bez odpowiedniej autoryzacji.
- CVE-2026-89205Średnie
W RUGGEDCOM CROSSBOW (wszystkie wersje < V6.0) urządzenia nie wykonują prawidłowo kontroli autoryzacji po stronie serwera dla żądań planowania operacji specjalnych. Uwierzytelniony atakujący z minimalnymi uprawnieniami może zaplanować nieautoryzowane operacje na urządzeniach.
- CVE-2026-89204Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na nieprawidłowym ograniczeniu dostępu do zapytań baz danych używanych do zarządzania podsieciami. Uwierzytelniony atakujący może czytać, modyfikować lub usuwać konfiguracje podsieci, co prowadzi do nieautoryzowanego ujawnienia informacji i manipulacji danymi.
- CVE-2026-89203Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z nieprawidłowego ograniczenia dostępu do różnych zapytań baz danych, co pozwala użytkownikom na pobieranie informacji ogólnosystemowych niezgodnych z ich poziomem uprawnień. Uwierzytelniony atakujący może gromadzić wrażliwe dane o infrastrukturze, w tym o urządzeniach, stacjach, użytkownikach i zaplanowanych działaniach.
- CVE-2026-89202Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku odpowiednich kontroli autoryzacji dla żądań rozłączenia urządzeń. Uwierzytelniony atakujący z minimalnymi uprawnieniami może rozłączyć aktywne sesje innych użytkowników, w tym administratorów, co prowadzi do odmowy usługi.
- CVE-2026-89201Wysokie
W produkcie RUGGEDCOM CROSSBOW w wersjach przed V6.0 urządzenia nieprawidłowo walidują lub oczyszczają dane wejściowe w nazwach grup urządzeń lub obiektów przetwarzanych w procesie Bulk Export. Uwierzytelniony atakujący z określonymi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89200Średnie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) wynika z braku walidacji i sanityzacji danych wejściowych w polach Name i Value dla niestandardowych etykiet plików. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-89199Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) umożliwia nieautoryzowany dostęp do wrażliwych elementów konfiguracji przez określone zapytania do bazy danych. Uwierzytelniony atakujący może pobrać poświadczenia administracyjne dla różnych systemów wewnętrznych, co prowadzi do nieautoryzowanego ujawnienia informacji i eskalacji uprawnień.
- CVE-2026-89198Wysokie
Podatność w RUGGEDCOM CROSSBOW (wersje < V6.0) polega na braku walidacji i sanityzacji nazw plików firmware podczas przesyłania. Uwierzytelniony atakujący z odpowiednimi uprawnieniami może wykonać dowolne polecenia SQL na bazie danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V5.2). The client query handler of the affected application fails to check for proper permissions when assigning groups to user accounts. This could allow an authenticated remote attacker to assign administrative groups to otherwise non-privileged user accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS