Уязвимости в программном обеспечении Dayforce Payroll
CVE ID
CVE-2026-73640
Дата публикации
28 сентября 2026
Поставщик
Dayforce
Продукт
Payroll
Уязвимые версии
R2026.2.0
Тип уязвимости (CWE)
Неправильная нейтрализация специальных элементов, используемых в SQL-команде ('SQL injection') (CWE-89)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-73641
Дата публикации
28 сентября 2026
Поставщик
Dayforce
Продукт
Payroll
Уязвимые версии
R2026.2.0
Тип уязвимости (CWE)
Неправильная нейтрализация ввода при генерации веб-страницы (XSS или 'Cross-site Scripting') (CWE-79)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-73642
Дата публикации
28 сентября 2026
Поставщик
Dayforce
Продукт
Payroll
Уязвимые версии
R2026.2.0
Тип уязвимости (CWE)
Неправильное ограничение имени пути к ограниченной директории ('Path Traversal') (CWE-22)
Источник отчета
Отчет в CERT Polska
Описание
CERT Polska получил отчет о уязвимостях в программном обеспечении Dayforce Payroll и участвовал в координации их раскрытия.
Уязвимость CVE-2026-73640: Dayforce Payroll уязвим для Time Based-Blind SQL Injection в функционале восстановления пароля. Неаутентифицированный злоумышленник может подготовить GET-запрос с одним из параметров, заполненным произвольным SQL-запросом. Параметр интерпретируется как часть SQL-предиката, что приводит к Time-Based Blind SQL Injection.
Уязвимость CVE-2026-73641: Dayforce Payroll уязвим для Reflected XSS в нескольких конечных точках. Злоумышленник может подготовить специально созданный URL, который, при открытии, приводит к выполнению произвольного JavaScript в браузере жертвы.
Уязвимость CVE-2026-73642: Dayforce Payroll уязвим для Path Traversal в функционале загрузки файлов. Неаутентифицированный злоумышленник может отправить GET-запрос с параметром пути к файлу, установленным на любой путь, включая абсолютный локальный путь к файлу.
Поскольку попытки связаться с поставщиком не увенчались успехом, уязвимости были подтверждены только в версии R2026.2.0, но могут также затрагивать другие версии.
Кредиты
Мы благодарим Давида Дудека (4c1d8urn) за ответственный отчет об уязвимости.
Больше информации о процессе координированного раскрытия уязвимостей в CERT Polska можно найти по адресу https://cert.pl/en/cvd/.