Безопасность · 2 ноября 2026 г.
В ServiceNow обнаружены критические уязвимости, выпущены исправления
Компания ServiceNow столкнулась с обнаружением нескольких уязвимостей в своей платформе управления бизнесом ServiceNow AI Platform и связанном с ней приложении Task Plan Templates.
В опубликованном 29 октября 2026 года уведомлении по безопасности компания раскрыла три уязвимости на базе CVE. На момент публикации уведомления случаев эксплуатации данных проблем не зафиксировано.
Наиболее опасная уязвимость CVE-2026-103093 позволяет обходить ограничения песочницы среды выполнения скриптов Rhino. Для ее использования требуется аутентификация пользователя с правами администратора, что в итоге позволяет выполнять произвольный код в операционной системе хоста. Согласно системе CVSSv4.0, эта проблема получила базовый балл 9.4 и статус критической.
Уязвимость CVE-2026-103094 может привести к сохранению паролей пользователей в системных таблицах в открытом виде. Это создает риск утечки паролей пользователям, не имеющим соответствующих прав доступа. Данная проблема получила базовый балл CVSS 7.1 и высокую степень важности.
В приложении Task Plan Templates была выявлена уязвимость CVE-2026-6877, которая позволяет обходить контроль доступа между доменами. Аутентифицированный пользователь с определенными ролями может создавать записи в доменах, к которым он не должен иметь доступа. Эта уязвимость получила базовый балл CVSS 5.3 и среднюю степень важности.
Две уязвимости в ServiceNow AI Platform были исправлены в обновлениях за сентябрь для версий Australia, Zurich и Yokohama. Пользователям Task Plan Templates, использующим версию 2.0.0 или более ранние, рекомендуется обновиться до версии 3.0.0 или выше. Также сообщается, что исправления внесены в версию 2.0.1, которая устанавливается при обновлении экземпляров при определенных условиях.