CVE-2023-34422
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Użytkownik LXCA z odpowiednimi uprawnieniami może usunąć foldery w systemie plików LXCA poprzez specjalnie przygotowane wywołanie API webowego z powodu niewystarczającej walidacji danych wejściowych.
Ocena ryzyka
Możliwość usunięcia folderów przez użytkowników z podwyższonymi uprawnieniami stwarza ryzyko utraty danych oraz destabilizacji systemu.
Rekomendacja
Zaleca się wprowadzenie dodatkowej walidacji danych wejściowych w API oraz przegląd uprawnień użytkowników w systemie.
Powiązane podatności
- CVE-2026-106501Krytyczne
Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w narzędziu Scaffolder. Uwierzytelniony użytkownik Backstage, który może odczytać zadanie Scaffolder innego użytkownika, może otrzymać wewnętrzne dane wykonawcze.
- CVE-2026-105812Krytyczne
Niewłaściwa kontrola generowania kodu w funkcji importu agentów w Amazon Bedrock AgentCore Starter Toolkit przed wersją 0.3.14 może pozwolić uwierzytelnionemu aktorowi z tego samego konta na wykonanie dowolnego kodu, gdy użytkownik importuje i uruchamia lub wdraża Agenta Bedrock, poprzez spreparowane wartości konfiguracyjne osadzone w wygenerowanym kodzie Pythona bez bezpiecznego kodowania literałów.
- CVE-2026-79805Krytyczne
Uwierzytelniona podatność na przechodzenie po ścieżkach (path traversal) istnieje w ClearPass Policy Manager. Udane wykorzystanie może pozwolić atakującemu na odczyt i modyfikację niektórych plików w systemie operacyjnym.
- CVE-2026-79801Krytyczne
Brak weryfikacji integralności w oprogramowaniu agenta klienckiego HPE Networking ClearPass Policy Manager może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wprowadzenie niezaufanego kodu. Udane wykorzystanie może pozwolić na wykonanie dowolnego kodu w systemie klienckim.
- CVE-2026-79798Krytyczne
Podatności na wstrzykiwanie SQL w internetowym interfejsie zarządzania ClearPass Policy Manager mogą pozwolić uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami na przeprowadzenie ataków SQL injection przeciwko instancji ClearPass Policy Manager. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń bazy danych.
- CVE-2026-79796Krytyczne
Zidentyfikowano podatności w dotkniętym interfejsie ClearPass Policy Manager, które mogą potencjalnie pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania. Udane wykorzystanie może pozwolić atakującemu na uzyskanie nieautoryzowanego dostępu do systemu.
- CVE-2026-79794Krytyczne
Podatność na wstrzykiwanie SQL w internetowym interfejsie zarządzania ClearPass Policy Manager może pozwolić uwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków SQL injection przeciwko instancji ClearPass Policy Manager. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń bazy danych.
- CVE-2026-76754Krytyczne
Podatność w dotkniętym interfejsie ClearPass Policy Manager może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków SQL injection przeciwko instancji ClearPass Policy Manager. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń bazy danych.
- CVE-2026-76753Krytyczne
Podatność na błąd formatu (format string) w dotkniętym interfejsie usługi HPE Networking ClearPass Policy Manager może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uszkodzenie pamięci procesu. Udane wykorzystanie może pozwolić na wykonanie dowolnego kodu.
- CVE-2026-76752Krytyczne
Podatności na obejście uwierzytelniania istnieją w internetowych interfejsach zarządzania i API HPE Networking ClearPass Policy Manager. Udane wykorzystanie może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania i uzyskanie dostępu administracyjnego do systemu.
Oryginalny opis (angielski, źródło NVD)
A valid, authenticated LXCA user with elevated privileges may be able to delete folders in the LXCA filesystem through a specifically crafted web API call due to insufficient input validation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS