CVE-2026-103403
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
Podatność typu OS command injection w AccessManager w Juniper Networks Session Smart Router i Session Smart Conductor pozwala atakującemu na dowolne usunięcie plików i wykonanie dowolnych poleceń poprzez usunięcie reguły audytu.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w systemie, co prowadzi do pełnej kompromitacji urządzenia.
Rekomendacja
Zaktualizuj oprogramowanie do wersji z poprawką i ogranicz dostęp do funkcji zarządzania regułami audytu.
Inne podatności w Juniper Networks Session Smart Router and Session Smart Conductor
Zobacz wszystkie- CVE-2026-103407Wysokie
Podatność typu improper limitation of a pathname to a restricted directory w ConfigDirector w Juniper Networks Session Smart Router i Session Smart Conductor pozwala uwierzytelnionemu użytkownikowi REST na odczyt, nadpisanie lub usunięcie dowolnych plików certyfikatów i kluczy w systemie plików hosta poprzez API REST certyfikatów i kluczy prywatnych.
- CVE-2026-103402Wysokie
Podatność typu insufficient verification of data authenticity w PCLI w Juniper Networks Session Smart Router i Session Smart Conductor pozwala atakującemu z prawem zapisu do katalogu cache modelu na wykonanie dowolnego kodu i eskalację uprawnień poprzez przetwarzanie niezweryfikowanych plików cache.
- CVE-2026-103401Wysokie
Podatność typu link following w nieuwierzytelnionych handlerach serwera web w Juniper Networks Session Smart Router i Session Smart Conductor pozwala lokalnemu nieuprzywilejowanemu użytkownikowi na nadpisanie dowolnych plików jako root poprzez nieuwierzytelnione endpointy API. Podatność może być wykorzystana na routerach zarządzanych przez Mist oraz na niezarządzanych routerach, które nie zostały jeszcze wdrożone do Conductora; routery zarządzane przez Conductora nie są podatne.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in AccessManager in Juniper Networks Session Smart Router and Session Smart Conductor allows an attacker to perform arbitrary file deletion and arbitrary command execution via the deletion of an audit rule.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS