Los fallos críticos de ServiceNow permiten a los atacantes ejecutar código y acceder a los datos

ServiceNow ha publicado actualizaciones de seguridad para cuatro vulnerabilidades en su plataforma Now y la plataforma ServiceNow AI, incluidas tres fallas críticas que podrían permitir a los atacantes no autenticados ejecutar código, acceder a datos de instancias confidenciales, modificar registros o escalar privilegios. CVE-2026-18885 es una vulnerabilidad crítica de inyección de código que podría permitir que un atacante no autenticado, en determinadas circunstancias, ejecute código arbitrario dentro de la plataforma ServiceNow.

La exploit exitosa también podría permitir que un atacante acceda o modifique los datos de la instancia más allá de los permisos previstos. El segundo problema crítico, rastreado como CVE-2026-18886, es otra falla de inyección de código en la plataforma ServiceNow AI. ServiceNow dijo que un atacante no autenticado podría crear o alterar los datos de la instancia fuera de los límites de autorización esperados. Si se explota, el problema podría permitir que un atacante no autenticado ejecute sentencias SQL arbitrarias contra la base de datos subyacente de la instancia afectada.

Esto podría exponer los datos confidenciales almacenados en los entornos de ServiceNow o permitir que los atacantes modifiquen los registros respaldados por bases de datos. Las fallas críticas de ServiceNow posteriores permiten a los atacantes ejecutar código y acceder a los datos aparecieron por primera vez en Cyber Security News.

Consultar publicación original ↗