| TVN ID | TVN-202609012 |
|---|---|
| CVE ID | CVE-2026-102455, CVE-2026-102456, CVE-2026-102457, CVE-2026-102458, CVE-2026-102459 |
| CVSS | 【CVE-2026-102455】 9.3 (Critical) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 【CVE-2026-102456】 7.1 (High) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 【CVE-2026-102457】 7.1 (High) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 6.5 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 【CVE-2026-102458】 9.3 (Critical) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 【CVE-2026-102459】 5.1 (Medium) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N 6.1 (Medium) CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
| 影響產品 | EasyFlow .NET V6.1.x(含)以前 EasyFlow .NET V6.6.19(含)以前 EasyFlow .NET V8.1.5(含)以前 |
| 問題描述 | 【CVE-2026-102455(Insecure Deserialization)】 未經身分鑑別之遠端攻擊者可透過發送惡意序列化內容於伺服器端執行任意程式碼。 【CVE-2026-102456(SQL Injection)】 已通過身分鑑別之遠端攻擊者可注入任意SQL指令讀取資料庫內容。 【CVE-2026-102457(Arbitrary File Read)】 已通過身分鑑別之遠端攻擊者可利用此漏洞下載任意系統檔案。 【CVE-2026-102458(Missing Authentication)】 未經身分鑑別之遠端攻擊者可透過特定API取得其他使用者之明文密碼。 【CVE-2026-102459(Reflected Cross-site Scripting)】 未經身分鑑別之遠端攻擊者可利用釣魚攻擊於使用者端瀏覽器執行任意JavaScript程式碼。 |
| 解決方法 | 【CVE-2026-102455】 更新Patch至2026/04/16之後版本 【CVE-2026-102456, CVE-2026-102459】 更新Patch至2026/06/26之後版本 【CVE-2026-102457】 更新Patch至2026/04/20之後版本 【CVE-2026-102458】 更新Patch至2026/04/17之後版本 |
| 漏洞通報者 | Heng-Chia Kuo |
| 公開日期 | 2026-09-30 |
:::