CVE-2026-101156
WysokieCVSS 8.4Streszczenie
Podatność typu stored cross-site scripting (XSS) może pozwolić uwierzytelnionemu administratorowi o wysokich uprawnieniach na zapisanie złośliwej treści w konfiguracji. Treść może wykonać się w przeglądarce innego uwierzytelnionego użytkownika, gdy ten wyświetli lub porówna dotkniętą konfigurację. Udana eksploatacja może pozwolić atakującemu na działanie przez sesję ofiary w celu dostępu do danych wrażliwych, modyfikacji konfiguracji lub zakłócenia zarządzanych usług bezprzewodowych.
Ocena ryzyka
Administrator o wysokich uprawnieniach może wstrzyknąć złośliwą treść, która wykona się w sesji innego użytkownika, umożliwiając modyfikację konfiguracji lub zakłócenie usług.
Rekomendacja
Wdróż sanityzację treści konfiguracji, ogranicz uprawnienia administracyjne i zastosuj poprawkę producenta.
Inne podatności w CloudVision
Zobacz wszystkie- CVE-2026-101157Wysokie
Podatność typu stored cross-site scripting (XSS) może pozwolić nieuwierzytelnionemu atakującemu z dostępem do sąsiedniej sieci na wstrzyknięcie złośliwej treści, która wykona się, gdy uwierzytelniony użytkownik wyświetli dotkniętą treść. Udana eksploatacja może pozwolić na kompromitację sesji przeglądarki ofiary, dostęp do danych wrażliwych, modyfikację stanu systemu lub zakłócenie usług.
- CVE-2026-101152Wysokie
Niewystarczająca walidacja w przepływie logowania Single Sign-On (SSO) może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na spreparowanie adresu URL, który po kliknięciu przez użytkownika powoduje, że dostawca tożsamości (IdP) przekazuje materiał uwierzytelniający do adresu URL kontrolowanego przez atakującego zamiast do CloudVision.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability may allow an authenticated, high-privilege administrator to store malicious content in a configuration. The content may execute in another authenticated user's browser when that user views or compares the affected configuration. Successful exploitation may allow the attacker to act through the victim's authenticated browser session to access sensitive data, modify configurations, or disrupt managed wireless services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS