آسیب‌پذیری‌ها در نرم‌افزار حقوق و دستمزد Dayforce
CVE ID
CVE-2026-73640
تاریخ انتشار
28 سپتامبر 2026
فروشنده
Dayforce
محصول
Payroll
نسخه‌های آسیب‌پذیر
R2026.2.0
نوع آسیب‌پذیری (CWE)
عدم خنثی‌سازی صحیح عناصر خاص استفاده شده در یک دستور SQL ('SQL injection') (CWE-89)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-73641
تاریخ انتشار
28 سپتامبر 2026
فروشنده
Dayforce
محصول
Payroll
نسخه‌های آسیب‌پذیر
R2026.2.0
نوع آسیب‌پذیری (CWE)
عدم خنثی‌سازی صحیح ورودی در هنگام تولید صفحه وب (XSS یا 'Cross-site Scripting') (CWE-79)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-73642
تاریخ انتشار
28 سپتامبر 2026
فروشنده
Dayforce
محصول
Payroll
نسخه‌های آسیب‌پذیر
R2026.2.0
نوع آسیب‌پذیری (CWE)
عدم محدودیت صحیح یک نام مسیر به یک دایرکتوری محدود ('Path Traversal') (CWE-22)
منبع گزارش
گزارش به CERT Polska
توضیحات
CERT Polska گزارشی درباره آسیب‌پذیری‌ها در نرم‌افزار حقوق و دستمزد Dayforce دریافت کرده و در هماهنگی افشای آن‌ها مشارکت داشته است.
آسیب‌پذیری CVE-2026-73640: نرم‌افزار حقوق و دستمزد Dayforce در برابر SQL Injection مبتنی بر زمان در قابلیت بازیابی رمز عبور آسیب‌پذیر است. مهاجم غیرمجاز می‌تواند درخواست GET را با یکی از پارامترها که با یک پرس‌وجوی SQL دلخواه پر شده است، آماده کند. این پارامتر به عنوان بخشی از پیش‌شرط SQL تفسیر می‌شود که منجر به SQL Injection مبتنی بر زمان می‌شود.
آسیب‌پذیری CVE-2026-73641: نرم‌افزار حقوق و دستمزد Dayforce در برابر XSS منعکس شده در چندین نقطه پایانی آسیب‌پذیر است. یک مهاجم می‌تواند یک URL به‌طور خاص طراحی شده آماده کند که وقتی باز شود، منجر به اجرای JavaScript دلخواه در مرورگر قربانی می‌شود.
آسیب‌پذیری CVE-2026-73642: نرم‌افزار حقوق و دستمزد Dayforce در برابر Path Traversal در قابلیت دانلود فایل آسیب‌پذیر است. یک مهاجم غیرمجاز می‌تواند درخواست GET را با پارامتر مسیر فایل تنظیم شده به هر مسیری از جمله یک مسیر فایل محلی مطلق ارسال کند.
به دلیل ناموفق بودن تلاش‌های تماس با فروشنده، آسیب‌پذیری‌ها تنها در نسخه R2026.2.0 تأیید شده‌اند اما ممکن است سایر نسخه‌ها را نیز تحت تأثیر قرار دهند.
اعتبارات
ما از Dawid Dudek (4c1d8urn) برای گزارش مسئولانه آسیب‌پذیری تشکر می‌کنیم.
اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.