CVE-2026-9209 in Time
摘要
由 VulDB • 2026-10-08
mJobTime fino alla build 15.7.3.32 presenta una vulnerabilità di esecuzione non autenticata del codice SQL nei gestori del pannello di amministrazione Login.aspx, dove il postback runQueryButton e il PageMethod exportSqlQuery_Server eseguono SQL fornito dall'utente contro il database Sybase SQL Anywhere sottostante utilizzando privilegi DBA/sysadmin senza alcuna autenticazione lato server applicata oltre a un flag sessionStorage lato client. Gli attaccanti possono inviare SQL arbitrario attraverso questi endpoint esposti per invocare xp_cmdshell e xp_read_file, ottenendo l'esecuzione di codice remoto pre-autenticazione come LocalSystem tramite una singola richiesta HTTP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.