🔴 《严重安全漏洞：CVE-2026-14807》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-06

漏洞简介

CVE-2026-14807 是一个存在于由 PROG MIS 开发的 ERP 应用程序中的安全漏洞。该漏洞属于 使用硬编码凭据（Use of Hard-coded Credentials） 问题，对应 CWE 分类为 CWE-798。

由于该应用程序在代码中内置了固定的、不可更改的认证凭据（如用户名和密码），攻击者无需任何身份验证即可远程利用这些凭据登录系统。成功登录后，攻击者能够查看应用程序的源代码，并进一步获取数据库的账户名和密码。

影响范围

  • 受影响软件：PROG MIS 开发的 ERP 应用程序
  • 漏洞类型：硬编码凭据（CWE-798）
  • 攻击向量：远程网络攻击（AV:N）
  • 攻击复杂度：低（AC:L）
  • 所需权限：无需任何权限（PR:N）
  • 用户交互：无需用户交互（UI:N）

根据 CVSS 4.0 评分向量（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N），该漏洞的严重性极高，主要影响机密性、完整性和可用性，均被评为高（H）。

风险分析

  1. 未授权访问：由于凭据是硬编码的，任何能够访问该 ERP 应用程序网络的远程攻击者都可以直接使用这些凭据登录系统，完全绕过正常的身份验证机制。
  2. 敏感信息泄露：攻击者登录后可以查看应用程序的源代码，并从中提取数据库的账户和密码。这可能导致整个后端数据库被攻陷，泄露所有存储在数据库中的业务数据、用户信息、财务记录等敏感内容。
  3. 后续攻击扩展：获取数据库凭据后，攻击者可能进一步对数据库执行任意查询、篡改数据、删除记录，甚至利用数据库服务器的漏洞进行横向移动，攻击内部网络中的其他系统。
  4. 业务中断风险：由于 CVSS 评分中可用性影响为高（VA:H），攻击者可能通过破坏数据库或应用程序逻辑，导致 ERP 系统无法正常提供服务，造成业务中断。

总结：该漏洞允许未经身份验证的远程攻击者完全接管 ERP 应用程序及其后端数据库，属于极高危漏洞，建议立即修复。

🔍 技术细节

字段 值
CVE ID CVE-2026-14807
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-798
发布时间 2026-07-06
最后更新 2026-07-06
状态 Received
数据来源 twcert@cert.org.tw

🔗 参考链接