CVE-2025-57870
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W Esri ArcGIS Server w wersjach 11.3, 11.4 i 11.5 na Windows, Linux i Kubernetes występuje podatność SQL Injection. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia SQL poprzez określoną operację ArcGIS Feature Service.
Ocena ryzyka
Skuteczna eksploatacja może doprowadzić do nieautoryzowanego dostępu, modyfikacji lub usunięcia danych z bazowej Enterprise Geodatabase, co stanowi poważne zagrożenie dla integralności danych.
Rekomendacja
Należy jak najszybciej zaktualizować Esri ArcGIS Server do wersji z poprawką oraz zweryfikować logi dostępu do Feature Service pod kątem podejrzanych operacji SQL.
Inne podatności w Esri ArcGIS Server
Zobacz wszystkie- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-9182Krytyczne
Esri ArcGIS Server zawiera podatność polegającą na nieograniczonym przesyłaniu plików. Nieuwierzytelniony atakujący może wykorzystać ten problem, przesyłając spreparowany plik do podatnego punktu końcowego. Udane wykorzystanie może umożliwić dowolne przesyłanie plików, potencjalnie prowadząc do innych ataków.
- CVE-2026-50095Średnie
W Esri ArcGIS Server 11.1 i wcześniejszych na Windows i Linux występuje podatność typu stored cross-site scripting, która w niektórych konfiguracjach pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zapisanie plików zawierających złośliwy kod mogący wykonać się w kontekście przeglądarki ofiary. Poprawka jest dostępna dla wersji 12.1, 12.0, 11.5, 11.3 i 11.1.
- CVE-2026-33522Średnie
Esri ArcGIS Server w wersjach od 11.3 do 12.0 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na aktualizację metadanych usługi. Poprawka jest dostępna dla wersji 12.0, 11.5 i 11.3.
- CVE-2026-33521Wysokie
W Esri ArcGIS Server w wersjach 12.0 i starszych występuje podatność na atak typu denial of service. Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane żądania, które w wyjątkowych warunkach wyczerpią wszystkie dostępne wątki robocze i odmówią usługi użytkownikom.
- CVE-2025-67711Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67710Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67709Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67708Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
- CVE-2025-67705Średnie
W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
A SQL Injection vulnerability exists in Esri ArcGIS Server versions 11.3, 11.4 and 11.5 on Windows, Linux and Kubernetes. This vulnerability allows a remote, unauthenticated attacker to execute arbitrary SQL commands via a specific ArcGIS Feature Service operation. Successful exploitation can potentially result in unauthorized access, modification, or deletion of data from the underlying Enterprise Geodatabase.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS