CVE-2026-5964
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
EasyFlow .NET opracowany przez Digiwin ma podatność na SQL Injection, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
Ocena ryzyka
Podatność ta stwarza poważne zagrożenie dla integralności i poufności danych w organizacji, umożliwiając atakującym manipulację danymi w bazie.
Rekomendacja
Zaleca się aktualizację EasyFlow .NET do najnowszej wersji oraz wdrożenie mechanizmów zabezpieczających przed SQL Injection, takich jak stosowanie parametrów w zapytaniach SQL.
Inne podatności w EasyFlow .NET
Zobacz wszystkie- CVE-2026-102459Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Reflected Cross-site Scripting. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod JavaScript w przeglądarce użytkownika poprzez ataki phishingowe.
- CVE-2026-102457Średnie
EasyFlow .NET firmy Digiwin zawiera podatność Arbitrary File Read. Uwierzytelnieni zdalni atakujący mogą wykorzystać tę lukę do pobrania dowolnych plików systemowych.
- CVE-2026-102456Średnie
EasyFlow .NET firmy Digiwin zawiera podatność na wstrzykiwanie SQL. Zautentykowani zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytania zawartości bazy danych.
- CVE-2026-102454Wysokie
EasyFlow .NET opracowany przez Digiwin zawiera podatność na arbitralne przesyłanie plików. Uprzywilejowani zdalni atakujący mogą przesyłać i wykonywać backdoory typu web shell, co umożliwia wykonanie dowolnego kodu na serwerze.
- CVE-2026-102458Krytyczne
Podatność braku uwierzytelniania w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą uzyskać hasła innych użytkowników w postaci jawnego tekstu przez konkretne API.
- CVE-2026-102455Krytyczne
Podatność niebezpiecznej deserializacji w EasyFlow .NET firmy Digiwin. Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolny kod na serwerze, wysyłając złośliwie spreparowaną zawartość zserializowaną.
- CVE-2026-5963Krytyczne
EasyFlow .NET opracowany przez Digiwin ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-12581Wysokie
EasyFlow .NET opracowany przez Digiwin ma podatność na atak typu Session Fixation. Nieautoryzowani zdalni atakujący mogą zastąpić określony identyfikator sesji użytkownika, co pozwala im uzyskać uprawnienia użytkownika po jego zalogowaniu.
- CVE-2026-12580Średnie
EasyFlow .NET opracowany przez Digiwin ma podatność na przechowywane Cross-Site Scripting, która pozwala uwierzytelnionym zdalnym atakującym na wstrzykiwanie trwałego kodu JavaScript, wykonywanego w przeglądarkach użytkowników po załadowaniu strony.
Oryginalny opis (angielski, źródło NVD)
EasyFlow .NET developed by Digiwin has a SQL Injection vulnerability, allowing unauthenticated remote attackers to inject arbitrary SQL commands to read, modify, and delete database contents.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS