Aktywnie wykorzystywana w atakach
Zoho ManageEngine Multiple Products Remote Code Execution Vulnerability
Zoho - ManageEngine · Figuruje w katalogu CISA KEV od 2022-09-22. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-35405
KrytyczneCVSS 9.8KEVStreszczenie
Zoho ManageEngine Password Manager Pro przed 12101 i PAM360 przed 5510 są podatne na nieuwierzytelnione zdalne wykonanie kodu. Podatność dotyczy również ManageEngine Access Manager Plus przed 4303, ale wymaga uwierzytelnienia.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod bez uwierzytelnienia, co może prowadzić do pełnego przejęcia kontroli nad systemem zarządzania hasłami i dostępem. Może to skutkować naruszeniem poufności wszystkich zarządzanych poświadczeń.
Rekomendacja
Należy niezwłocznie zaktualizować Password Manager Pro do wersji 12101 lub nowszej, PAM360 do 5510 lub nowszej, a Access Manager Plus do 4303 lub nowszej. Zaleca się również ograniczenie dostępu sieciowego do tych systemów.
Powiązane podatności
- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
- CVE-2026-82158Krytyczne
Dell Wyse Management Suite w wersjach przed 2609.0.0.155 zawiera podatność typu cross-site scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do wstrzyknięcia skryptu.
- CVE-2026-121249Krytyczne
W Google Chrome przed wersją 157.0.8103.38 występuje przepełnienie bufora w komponencie ANGLE. Zdalny atakujący może wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121247Krytyczne
W Google Chrome na systemie Android przed wersją 157.0.8103.38 występuje przepełnienie bufora w komponencie Dawn. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121246Krytyczne
Podatność use-after-free w komponencie WebGL przeglądarki Google Chrome na Androidzie w wersjach przed 157.0.8103.38. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121241Krytyczne
Podatność use-after-free w komponencie Navigation przeglądarki Google Chrome na Androidzie w wersjach przed 157.0.8103.38. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121234Krytyczne
Podniesienie uprawnień w komponencie Contacts przeglądarki Google Chrome na Androidzie przed wersją 157.0.8103.38 pozwala zdalnemu atakującemu potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121229Krytyczne
Uszkodzenie pamięci w komponencie ANGLE przeglądarki Google Chrome na Androidzie przed wersją 157.0.8103.38 pozwala zdalnemu atakującemu potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121214Krytyczne
W Google Chrome przed wersją 157.0.8103.38 występuje użycie zwolnionej pamięci (use after free) w module Passwords. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121202Krytyczne
W Google Chrome przed wersją 157.0.8103.38 występuje użycie po zwolnieniu (use after free) w komponencie Autofill. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML, wykorzystując inżynierię społeczną.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine Password Manager Pro before 12101 and PAM360 before 5510 are vulnerable to unauthenticated remote code execution. (This also affects ManageEngine Access Manager Plus before 4303 with authentication.)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS