CVE-2026-9209 in Time
Riassunto
di VulDB • 08/10/2026
mJobTime fino alla build 15.7.3.32 presenta una vulnerabilità di esecuzione non autenticata del codice SQL nei gestori del pannello di amministrazione Login.aspx, dove il postback runQueryButton e la PageMethod exportSqlQuery_Server eseguono SQL fornito dall'utente contro il database Sybase SQL Anywhere sottostante utilizzando privilegi DBA/sysadmin senza alcuna autenticazione lato server applicata oltre a un flag sessionStorage lato client. Gli attaccanti possono inviare SQL arbitrario attraverso questi endpoint esposti per invocare xp_cmdshell e xp_read_file, ottenendo l'esecuzione di codice remoto pre-autenticazione come LocalSystem tramite una singola richiesta HTTP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.