Dayforce Payroll软件中的漏洞
CVE ID
CVE-2026-73640
发布日期
2026年9月28日
供应商
Dayforce
产品
Payroll
受影响版本
R2026.2.0
漏洞类型 (CWE)
对SQL命令中使用的特殊元素的不当中和（'SQL注入'）(CWE-89)
报告来源
报告给CERT Polska
CVE ID
CVE-2026-73641
发布日期
2026年9月28日
供应商
Dayforce
产品
Payroll
受影响版本
R2026.2.0
漏洞类型 (CWE)
在网页生成过程中对输入的不当中和（XSS或'跨站脚本'）(CWE-79)
报告来源
报告给CERT Polska
CVE ID
CVE-2026-73642
发布日期
2026年9月28日
供应商
Dayforce
产品
Payroll
受影响版本
R2026.2.0
漏洞类型 (CWE)
对路径名限制的不当（'路径遍历'）(CWE-22)
报告来源
报告给CERT Polska
描述
CERT Polska已收到关于Dayforce Payroll软件中漏洞的报告，并参与了其披露的协调工作。
漏洞CVE-2026-73640：Dayforce Payroll在密码恢复功能中易受基于时间的盲SQL注入攻击。未经过身份验证的攻击者可以准备一个GET请求，其中一个参数填入任意SQL查询。该参数被解释为SQL谓词的一部分，导致基于时间的盲SQL注入。
漏洞CVE-2026-73641：Dayforce Payroll在多个端点中易受反射型XSS攻击。攻击者可以准备一个特殊构造的URL，当打开时，会导致在受害者的浏览器中执行任意JavaScript。
漏洞CVE-2026-73642：Dayforce Payroll在文件下载功能中易受路径遍历攻击。未经过身份验证的攻击者可以发送GET请求，将文件路径参数设置为任何路径，包括绝对本地文件路径。
由于与供应商的联系尝试未成功，漏洞仅在版本R2026.2.0中得到确认，但可能也影响其他版本。
致谢
我们感谢Dawid Dudek (4c1d8urn)对漏洞的负责任报告。
有关CERT Polska协调漏洞披露过程的更多信息，请访问 https://cert.pl/en/cvd/。