ثغرات في برنامج Dayforce Payroll
CVE ID
CVE-2026-73640
تاريخ النشر
28 سبتمبر 2026
البائع
Dayforce
المنتج
Payroll
الإصدارات المعرضة للخطر
R2026.2.0
نوع الثغرة (CWE)
عدم التحييد الصحيح للعناصر الخاصة المستخدمة في أمر SQL ('حقن SQL') (CWE-89)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-73641
تاريخ النشر
28 سبتمبر 2026
البائع
Dayforce
المنتج
Payroll
الإصدارات المعرضة للخطر
R2026.2.0
نوع الثغرة (CWE)
عدم التحييد الصحيح للإدخال أثناء إنشاء صفحة الويب (XSS أو 'البرمجة النصية عبر المواقع') (CWE-79)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-73642
تاريخ النشر
28 سبتمبر 2026
البائع
Dayforce
المنتج
Payroll
الإصدارات المعرضة للخطر
R2026.2.0
نوع الثغرة (CWE)
تحديد غير صحيح لاسم المسار إلى دليل مقيد ('تجاوز المسار') (CWE-22)
مصدر التقرير
تقرير إلى CERT Polska
الوصف
تلقت CERT Polska تقريرًا عن ثغرات في برنامج Dayforce Payroll وشاركت في تنسيق الكشف عنها.
الثغرة CVE-2026-73640: برنامج Dayforce Payroll معرض لحقن SQL العمياء المعتمدة على الوقت في وظيفة استعادة كلمة المرور. يمكن للمهاجم غير المصرح له إعداد طلب GET مع ملء أحد المعلمات باستعلام SQL عشوائي. يتم تفسير المعلمة كجزء من جملة SQL مما يؤدي إلى حقن SQL العمياء المعتمدة على الوقت.
الثغرة CVE-2026-73641: برنامج Dayforce Payroll معرض لـ XSS المنعكس في عدة نقاط نهاية. يمكن للمهاجم إعداد عنوان URL مصمم خصيصًا، وعند فتحه، يؤدي إلى تنفيذ JavaScript عشوائي في متصفح الضحية.
الثغرة CVE-2026-73642: برنامج Dayforce Payroll معرض لتجاوز المسار في وظيفة تنزيل الملفات. يمكن لمهاجم غير مصرح له إرسال طلب GET مع تعيين معلمة مسار الملف إلى أي مسار بما في ذلك مسار ملف محلي مطلق.
نظرًا لفشل محاولات الاتصال بالبائع، تم تأكيد الثغرات فقط في الإصدار R2026.2.0 ولكن قد تؤثر أيضًا على إصدارات أخرى.
الاعتمادات
نشكر داود دودك (4c1d8urn) على التقرير المسؤول عن الثغرات.
يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسق عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.