CVE-2026-92188
KrytyczneCVSS 9.8Streszczenie
Moduł ForgeMBeanServerSupport w Quest Foglight for Databases nie wymaga uwierzytelnienia przed udostępnieniem funkcjonalności. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście konta SYSTEM.
Ocena ryzyka
Brak uwierzytelnienia pozwala na zdalne wykonanie kodu i pełne przejęcie systemu. Krytyczne ryzyko dla organizacji eksponujących Foglight w sieci.
Rekomendacja
Zastosuj poprawki producenta i ogranicz dostęp sieciowy do usług Foglight. Wdróż silne uwierzytelnianie i segmentację sieci.
Inne podatności w Quest Foglight for Databases
Zobacz wszystkie- CVE-2026-92200Wysokie
Podatność nieprawidłowego przypisania uprawnień w Quest Foglight for Databases umożliwia lokalną eskalację uprawnień. Problem występuje w instalatorze produktu i wynika z nieprawidłowych uprawnień do folderu używanego przez produkt.
- CVE-2026-92199Wysokie
W Quest Foglight for Databases w metodzie symmetricDecrypt użyto zaszyfrowanego na stałe klucza kryptograficznego. Atakujący z możliwością uruchomienia kodu z niskimi uprawnieniami może wykorzystać tę lukę do eskalacji uprawnień i wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92198Wysokie
W metodzie getSource w Quest Foglight for Databases występuje niewłaściwe ograniczenie odwołań XML External Entity (XXE). Nieuwierzytelniony zdalny atakujący może wymusić na parserze XML dostęp do wskazanego URI i ujawnić informacje w kontekście aplikacji.
- CVE-2026-92197Wysokie
W metodzie unzipFile w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92196Wysokie
W metodzie renderTemplateString w Quest Foglight for Databases brakuje właściwej walidacji ciągu znaków podanego przez użytkownika przed przetworzeniem go przez silnik szablonów, co prowadzi do server-side template injection. Uwierzytelniony zdalny atakujący może wykonać dowolny kod w kontekście SYSTEM.
- CVE-2026-92195Wysokie
W skrypcie loadEvolveLicense w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92194Wysokie
W skrypcie loadManageServerLicense w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92193Średnie
Podatność w klasie FileServlet w Quest Foglight for Databases pozwala uwierzytelnionemu zdalnemu atakującemu ujawnić poufne informacje. Problem wynika z braku właściwej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach.
- CVE-2026-92192Wysokie
W skrypcie installLicense w Quest Foglight for Databases brakuje właściwej walidacji ścieżki podanej przez użytkownika, co umożliwia directory traversal. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-92191Wysokie
W funkcji runScript w Quest Foglight for Databases występuje nieprawidłowa autoryzacja przed udostępnieniem funkcjonalności. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Quest Foglight for Databases ForgeMBeanServerSupport Missing Authentication Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Quest Foglight for Databases. Authentication is not required to exploit this vulnerability. The specific flaw exists within the ForgeMBeanServerSupport module. The issue results from the lack of authentication prior to allowing access to functionality. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-29168.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS