ServiceNow - CVE-2026-13016
Date de publication :
Il s'agit d'une vulnérabilité d'injection SQL dans le socle de traitement des données du ServiceNow AI Platform.
ServiceNow AI Platform est le socle logiciel unifié de la plateforme ServiceNow, éditeur de solutions de gestion des services d'entreprise. Il regroupe la gestion des services informatiques, des ressources humaines, de la relation client, de la sécurité et du développement d'applications au sein d'un modèle de données unique, sous forme de service hébergé ou installé chez le client.
Une insuffisance de neutralisation des éléments spéciaux au sein d'une requête permet à un utilisateur non authentifié, dans certaines circonstances non détaillées publiquement par l'éditeur, de faire exécuter des instructions SQL arbitraires contre la base de données sous-jacente de l'instance.
Elle permet l'accès non autorisé aux données de l'instance ainsi que leur modification au-delà du périmètre normalement prévu.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-89 : Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• ServiceNow AI Platform, branche Yokohama, versions antérieures à Patch 13 Hot Fix 5a
• ServiceNow AI Platform, branche Zurich, versions antérieures à Patch 10 Hot Fix 3b
• ServiceNow AI Platform, branche Zurich, versions antérieures à Patch 10 Hot Fix 4a W32
• ServiceNow AI Platform, branche Zurich, versions antérieures à Patch 11 Hot Fix 3
• ServiceNow AI Platform, branche Australia, versions antérieures à Patch 2 Hot Fix 4b W32
• ServiceNow AI Platform, branche Australia, versions antérieures à Patch 4 Hot Fix 3
• ServiceNow AI Platform, branche Australia, versions antérieures à Patch 5
Solutions ou recommandations
• ServiceNow AI Platform, branche Zurich, versions Patch 10 Hot Fix 3b et supérieures
• ServiceNow AI Platform, branche Zurich, versions Patch 10 Hot Fix 4a W32 et supérieures
• ServiceNow AI Platform, branche Zurich, versions Patch 11 Hot Fix 3 et supérieures
• ServiceNow AI Platform, branche Australia, versions Patch 2 Hot Fix 4b W32 et supérieures
• ServiceNow AI Platform, branche Australia, versions Patch 4 Hot Fix 3 et supérieures
• ServiceNow AI Platform, branche Australia, versions Patch 5 et supérieures