CVE-2026-6833
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
System a+HRD firmy aEnrich zawiera podatność na wstrzykiwanie SQL (SQL Injection), która pozwala uwierzytelnionym zdalnym atakującym na wykonywanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do poufnych danych przechowywanych w bazie danych, co może prowadzić do naruszenia poufności informacji. Może to skutkować wyciekiem danych pracowników lub innych wrażliwych informacji.
Rekomendacja
Zastosuj dostępne aktualizacje od producenta aEnrich, które naprawiają podatność. Dodatkowo rozważ wdrożenie zasady minimalnych uprawnień dla kont użytkowników systemu.
Inne podatności w a+HRD
Zobacz wszystkie- CVE-2025-12871Krytyczne
Produkt a+HRD firmy aEnrich ma podatność polegającą na nadużyciu uwierzytelniania. Nieuwierzytelniony zdalny atakujący może sfałszować tokeny dostępu administratora i uzyskać dostęp do systemu z podwyższonymi uprawnieniami.
- CVE-2025-12870Krytyczne
Produkt a+HRD firmy aEnrich zawiera podatność typu Authentication Abuse, umożliwiającą nieuwierzytelnionym zdalnym atakującym wysyłanie spreparowanych pakietów w celu uzyskania tokenów dostępu administratora i wykorzystania ich do dostępu do systemu z podwyższonymi uprawnieniami.
- CVE-2026-6834Średnie
a+HRD opracowany przez aEnrich ma podatność polegającą na braku autoryzacji, umożliwiającą uwierzytelnionym zdalnym atakującym dowolne odczytanie zawartości bazy danych poprzez określoną metodę API.
- CVE-2025-12869Średnie
W a+HRD firmy aEnrich występuje podatność Stored Cross-Site Scripting, pozwalająca zdalnym atakującym z uprawnieniami administratora na wstrzyknięcie trwałego kodu JavaScript, który jest wykonywany w przeglądarkach użytkowników przy ładowaniu strony.
Oryginalny opis (angielski, źródło NVD)
The a+HRD developed by aEnrich has a SQL Injection vulnerability, allowing authenticated remote attackers to inject arbitrary SQL commands to read database contents.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS