ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Saas-Security

ภาพรวมแท็กนี้

2 ข่าว

ServiceNow แพตช์ 3 ช่องโหว่ CVSS 10.0 บน AI Platform — รันโค้ดและยิง SQL ได้โดยไม่ต้องล็อกอิน พร้อมคำแก้ข่าวการโจมตีจริงของ CVE-2026-6875

Three CVSS 10.0 ServiceNow flaws let unauthenticated attackers execute code and SQL
ServiceNow ออกแพตช์แก้ช่องโหว่ 4 รายการบน ServiceNow AI Platform โดย 3 รายการได้คะแนน CVSS เต็ม 10.0 และในบางเงื่อนไขผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถใช้ได้ ทั้งการแทรกโค้ดใน GraphQL Composite Data API การควบคุมสิทธิ์ที่ไม่รัดกุมในตัวประมวลผลอัปโหลดภาพ และ SQL injection ผ่านคำสั่ง ORDER BY คะแนนทั้งหมดเป็นของ ServiceNow เองในฐานะ CNA และไม่มีรายการใดอยู่ในบัญชี KEV
ที่มา: The Hacker News
อ่านต่อ →

ช่องโหว่วิกฤต CVE-2026-6875 ใน ServiceNow AI Platform ถูกใช้โจมตีจริงแล้ว — หนีแซนด์บ็อกซ์รันโค้ดได้โดยไม่ต้องล็อกอิน

Critical ServiceNow AI Platform code execution flaw CVE-2026-6875 exploited in attacks
บริษัท Defused ยืนยันพบการโจมตีจริงบนช่องโหว่วิกฤต CVE-2026-6875 ใน ServiceNow AI Platform ซึ่งเปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนหนีออกจากแซนด์บ็อกซ์และรันโค้ดระยะไกลได้ ช่องโหว่นี้ค้นพบและรายงานโดยบริษัท Searchlight Cyber ตั้งแต่วันที่ 1 เมษายน และ ServiceNow ออกแพตช์ให้ระบบที่ติดตั้งเองเมื่อวันที่ 13 กรกฎาคม การโจมตีครั้งแรกถูกพบในวันศุกร์ถัดมาโดยใช้เส้นทางต่างจากโค้ดสาธิตที่เผยแพร่ไว้ ขณะที่ ServiceNow ยังไม่ปรับประกาศว่ามีการโจมตีจริง
ที่มา: BleepingComputer
อ่านต่อ →