Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-12507 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Zohocorp |
| Produkt | ManageEngine ServiceDesk Plus, ServiceDesk Plus MSP, AssetExplorer, SupportCenter Plus |
| Typ podatności | SQL injection prowadzące do RCE (CWE-89) |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, ManageEngine
Zohocorp ManageEngine AssetExplorer w wersjach poniżej 7860, ServiceDesk Plus w wersjach poniżej 15290, ServiceDesk Plus MSP w wersjach poniżej 15150 oraz SupportCenter Plus w wersjach poniżej 15150 zawierają podatność na uwierzytelnione zdalne wykonanie kodu (RCE) w module Reports. Uwierzytelniony użytkownik z uprawnieniem Create Query Reports może za pomocą specjalnie spreparowanych zapytań do bazy danych wykonać dowolne polecenia na serwerze, na którym działa aplikacja.
Według biuletynu producenta spreparowane zapytania wykorzystują wyrażenia Jasper. Poprawka ogranicza walidację danych wejściowych do niezbędnych uprawnień i blokuje zapytania uruchamiające wyrażenia Jasper. Producent klasyfikuje podatność jako „High”, NVD ocenia ją na 9.1 w skali CVSS.
Wymagane działania
- Zainstaluj najnowszy service pack: ServiceDesk Plus 15290, ServiceDesk Plus MSP 15150, AssetExplorer 7860 lub SupportCenter Plus 15150 (albo nowszy).
- Do czasu aktualizacji ogranicz uprawnienie Create Query Reports do kont, które rzeczywiście go potrzebują.
- Przejrzyj listę kont z tym uprawnieniem i niedawno utworzone raporty zapytań pod kątem nieoczekiwanych zapytań SQL.
Kogo dotyczy?
Podatność dotyczy produktów Zohocorp ManageEngine: ServiceDesk Plus 15280 i starszych, ServiceDesk Plus MSP 15140 i starszych, SupportCenter Plus 15140 i starszych oraz AssetExplorer 7850 i starszych. Są to systemy helpdesku, ITSM i zarządzania zasobami IT, stosowane w polskich firmach i instytucjach do obsługi zgłoszeń i inwentaryzacji sprzętu.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-12507?
CVE-2026-12507 to podatność w module Reports produktów ManageEngine ServiceDesk Plus, ServiceDesk Plus MSP, AssetExplorer i SupportCenter Plus (CWE-89), która pozwala uwierzytelnionemu użytkownikowi z uprawnieniem Create Query Reports wykonać dowolne polecenia na serwerze. Ocena CVSS: 9.1.
Czy do wykorzystania CVE-2026-12507 potrzebne jest uwierzytelnienie?
Tak. Atakujący musi mieć konto z uprawnieniem Create Query Reports w module Reports; interakcja innego użytkownika nie jest potrzebna.
Jak zabezpieczyć się przed CVE-2026-12507?
Zainstalować service pack producenta: ServiceDesk Plus 15290, ServiceDesk Plus MSP 15150, AssetExplorer 7860 lub SupportCenter Plus 15150 (albo nowszy), a do czasu aktualizacji ograniczyć uprawnienie Create Query Reports do niezbędnych kont.
Kogo dotyczy CVE-2026-12507?
Organizacji korzystających z ServiceDesk Plus w wersji 15280 i starszych, ServiceDesk Plus MSP i SupportCenter Plus w wersji 15140 i starszych oraz AssetExplorer w wersji 7850 i starszych.
