CVE-2025-47932
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Wersje przed 2.7.13 i 3.2.2 są podatne na ataki XSS, gdy dashboard jest renderowany przez wywołanie AJAX. Wersje 2.7.13 i 3.2.2 sanityzują zmienną odpowiedzialną za atak.
Ocena ryzyka
Ataki XSS mogą pozwolić atakującemu na wykonanie złośliwego skryptu w kontekście przeglądarki ofiary, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację iTop do wersji 2.7.13 lub 3.2.2, które zawierają poprawki zabezpieczające.
Inne podatności w Combodo iTop
Zobacz wszystkie- CVE-2026-39975Krytyczne
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.
- CVE-2026-108717Średnie
W Combodo iTop w wersjach od 3.1.0 do 3.3.0 wykryto brak autoryzacji w LinkSetController.php, który pozwala uwierzytelnionym użytkownikom konsoli na ominięcie ograniczeń profili poprzez podanie dowolnych parametrów klasy i klucza. Atakujący mogą wywołać trasy usuwania, odłączania i pobierania obiektów, aby usuwać obiekty, czyścić klucze zewnętrzne i odczytywać atrybuty obiektów bez uprawnień.
- CVE-2026-40877Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-30864Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34949Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelniony użytkownik mógł usunąć plik .readonly na instancjach iTop — plik tworzony podczas procesu instalacji, który uniemożliwia użytkownikom wykonywanie operacji zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34948Wysokie
Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.
- CVE-2026-34836Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, nieprawidłowa kontrola dostępu w ajax.render.php i ajax.document.php umożliwia dostęp do dokumentów bez sprawdzania uprawnień użytkownika. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34741Wysokie
Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.
- CVE-2026-33333Niskie
Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-33240Wysokie
Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.
Oryginalny opis (angielski, źródło NVD)
Combodo iTop is a web based IT service management tool. Versions prior to 2.7.13 and 3.2.2 are vulnerable to cross-site scripting when a dashboard is rendered via an AJAX call. Versions 2.7.13 and 3.2.2 sanitize the var responsible for the attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS