Vulnerabilità · 58 giorni fa
Il 27 agosto ServiceNow ha corretto quattro vulnerabilità nella AI platform e nel Now Platform: tre flaw critiche da CVSS 10,0 e una sandbox escape ad alto impatto. Per chi usa queste piattaforme come strato vicino ai dati operativi, il punto non è solo il bug singolo, ma la possibilità di alterare record, privilegiare accessi e arrivare al database sottostante senza autenticazione.
Le falle consentono a una richiesta costruita ad arte di passare come azione interna legittima. Da lì il software può eseguire codice, creare o modificare dati e innalzare i privilegi; una delle quattro permette anche SQL arbitrario contro il database di ServiceNow. In pratica, un attacco web contro un modulo “di piattaforma” può toccare dati e controlli che spesso stanno accanto a HR, vendor e finance.
ServiceNow ha già aggiornato le istanze ospitate e ha pubblicato hotfix per le versioni self-hosted Xanadu, Yokohama, Zurich e Australia. Per gli ambienti gestiti in casa, la superficie resta aperta finché la patch non è applicata localmente; e questa serie di bug mostra che l’AI layer amplia il rischio oltre i componenti tradizionali del Now Platform.
3 fonti che coprono questa storia
ServiceNow Patches 3 Critical Code Injection Vulnerabilities
Attackers could exploit the security defects to execute arbitrary code and access or tamper with data.
Three CVSS 10.0 ServiceNow Flaws Could Let Unauthenticated Attackers Execute Code and SQL
ServiceNow patched four AI Platform flaws, including three CVSS 10.0 bugs that can enable unauthenticated code execution or data access.
ServiceNow warns of three max severity security vulnerabilities
ServiceNow released security patches for three new maximum-severity AI Platform vulnerabilities that can be exploited in code injection, SQL injection, and privilege escalation attacks.
Part of the PlainSec briefing for 2026-09-01