CVE-2026-16999
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
UYAP Document Editor (Ministerstwo Sprawiedliwości) ma podatność związaną z nieprawidłowym ograniczeniem zewnętrznych encji XML (XXE), co pozwala na zewnętrzne łączenie danych seryjnych. Podatność dotyczy wersji od 4.5.17 przed 5.4.17.
Ocena ryzyka
Atakujący może wykorzystać XXE do odczytu plików z serwera lub przeprowadzenia ataków SSRF, co może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj UYAP Document Editor do wersji 5.4.17 lub nowszej, która zawiera poprawkę.
Inne podatności w UYAP Document Editor
Zobacz wszystkie- CVE-2026-18390Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego (OS command injection) w edytorze dokumentów UYAP przed wersją 5.4.20 na Windows i Linux oraz przed 5.4.21 na iOS. Niewłaściwa neutralizacja specjalnych elementów pozwala na wykonanie dowolnych poleceń systemowych.
- CVE-2026-12613Wysokie
W UYAP Document Editor (Windows, Linux, MacOS) przed wersją 5.4.20/5.4.21 znaleziono podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection).
Oryginalny opis (angielski, źródło NVD)
Improper restriction of XML external entity reference vulnerability in Ministry of Justice UYAP Document Editor allows Serialized Data External Linking. This issue affects UYAP Document Editor: from 4.5.17 before 5.4.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS