ServiceNow закрыла три уязвимости с оценкой CVSS 10.0
Три ошибки в ServiceNow AI Platform могут позволить удалённому неаутентифицированному пользователю выполнять код, менять данные или отправлять SQL-запросы к базе экземпляра. Компания также исправила ещё одну уязвимость с оценкой 8,7.
ServiceNow выпустила исправления для четырёх уязвимостей в ServiceNow AI Platform. Три из них компания оценила максимальным баллом 10,0 по CVSS: при определённых условиях их может использовать удалённый атакующий без учётной записи и взаимодействия с пользователем.
CVE-2026-18885 связана с внедрением кода в GraphQL Composite Data API. По описанию ServiceNow, она может позволить выполнить произвольный код, получить доступ к данным экземпляра или изменить их.
CVE-2026-18886 затрагивает обработчик загрузки изображений в конфигурации системы. Ошибка контроля доступа может дать неаутентифицированному пользователю возможность создавать или изменять данные экземпляра и повышать привилегии. CVE-2026-74820 представляет собой SQL-инъекцию в динамической схеме через выражение ORDER BY; она может позволить выполнять произвольные SQL-запросы к базе данных экземпляра.
Четвёрой проблеме, CVE-2026-6876, присвоена оценка 8,7. Это выход из песочницы в Now Platform, который, согласно описанию ServiceNow, может позволить выполнить произвольный код. При этом в опубликованном векторе CVSS для этой ошибки указано требование низких привилегий, хотя в описании говорится о неаутентифицированном пользователе.
ServiceNow сообщила, что развернула обновление на размещаемых ею экземплярах и передала его партнёрам и клиентам с самостоятельным размещением. Последним необходимо установить исправления самостоятельно. В бюллетене затронутыми названы версии семейств Xanadu, Yokohama, Zurich и Australia до перечисленных компанией патчей и hotfix-обновлений.
По состоянию на 28 августа ServiceNow заявляла, что ей неизвестны случаи эксплуатации всех четырёх новых уязвимостей. Их также не было в каталоге CISA Known Exploited Vulnerabilities. Для трёх ошибок с оценкой 10,0 на тот момент не обнаруживалось публичного кода эксплойтов.
Новый бюллетень вышел после раскрытия CVE-2026-6875 — другой уязвимости выхода из песочницы до аутентификации. Компания Defused ранее сообщала о её эксплуатации, но позднее уточнила, что зафиксированная нагрузка соответствовала опубликованному Searchlight Cyber демонстрационному эксплойту. ServiceNow заявила, что не видела признаков связи этой активности с экземплярами, которые размещает сама.