CVE-2026-59105: Password del nome server espone Jumis

CVE-2026-59105 espone una falla critica in Jumis (formerly Tildes Jumis), una piattaforma di accounting. Il prodotto crea automaticamente un login SQL Server named ##Tilde_JumisAdmin## durante l'installazione. La password di questo login è calcolata deterministicamente a partire da un singolo input non segreto: il nome del server SQL Server (@@servername). L'algoritmo di derivazione è hardcoded nel client Jumis ed è identico per tutte le installazioni, contenendo una chiave segreta hardcoded per l'entropia.

Poiché il nome del server non è segreto—l'instance suffix è hardcoded e l'hostname è scopribile via SQL Server Browser (UDP 1434), TDS pre-login response o DNS/NetBIOS—qualsiasi attaccante in grado di raggiungere il server Jumis può calcolare offline la password e autenticarsi. Il login ##Tilde_JumisAdmin## è membro del ruolo sysadmin. La falla è stata pubblicata su NVD il 2026-11-06, con CVSS 9,8 critical. Non è stato rilevato exploit pubblico su repository GitHub, ma sono stati segnalati 4 post su X nelle ultime 24 ore.

L'accesso sysadmin consente l'esecuzione di comandi del sistema operativo, in particolare perché l'installazione on-premise abilita xp_cmdshell durante il funzionamento. Gli amministratori devono: 1) inventariare tutte le installazioni Jumis on-premise; 2) verificare la presenza del login ##Tilde_JumisAdmin##; 3) limitare l'accesso network al SQL Server solo ai client autorizzati; 4) contattare immediatamente il vendor per patch o workaround; 5) se possibile, disabilitare xp_cmdshell. Non è stata pubblicata una correzione ufficiale nel momento della segnalazione.