CVE-2026-58256

CVSS 9.1 CRITICAL RCE

GRR vulnerable to Remote Code Execution Via PHP Code Injection

Công bố: 2026-10-28
Cập nhật: 2026-10-28
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

GRR is a resource management and reservation application. Prior to the advisory-reported fixed version 4.5.0, an administrator can inject malicious PHP through LDAP connector configuration parameters such as ldap_filter, poisoning /personnalisation/config_ldap.inc.php and permitting remote code execution. The administrator must first successfully connect to an LDAP server, which can be attacker-controlled, and then submit malicious input on the subsequent connector settings page. The advisory reports this issue as fixed in version 4.5.0.

Điểm và phân loại

CVSS: 9.1 CRITICAL v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): CRITICAL
EPSS: —
CWE: CWE-94

Vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

JeromeDevome GRR

Vì sao được giữ

CVSS 9.1 >= 8.0

Loại tác động

RCE: CWE-94; từ khoá "remote code execution"; từ khoá "code injection"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: GitHub_M