FICHE CVE

CVE-2026-9783

Publiée le 2026-06-25 · Dernière modification le 2026-06-26

🇫🇷 EN BREF

Les installations de Quest NetVault Backup sont affectées par une faille dans la manière dont le composant NVBURemovableMedia gère les messages JSON-RPC. Un attaquant disposant d'un accès réseau peut contourner l'authentification pour exécuter du code arbitraire avec les privilèges NETWORK SERVICE sur le serveur. Comme l'attaque est de faible complexité et ne nécessite aucune interaction de l'utilisateur, elle peut être effectuée à distance dès lors que le serveur est accessible.

CVSS 3.08.8 ÉLEVÉE

Type de faiblesse

Injection SQL · CWE-89

Publiée2026-06-25

Dernière modification2026-06-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Quest NetVault Backup NVBURemovableMedia SQL Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Quest NetVault Backup. Although authentication is required to exploit this vulnerability, the existing authentication mechanism can be bypassed. The specific flaw exists within the processing of NVBURemovableMedia JSON-RPC messages. The issue results from the lack of proper validation of a user-supplied string before using it to construct SQL queries. An attacker can leverage this vulnerability to execute code in the context of NETWORK SERVICE. Was ZDI-CAN-27632.