CVE-2026-103508
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
P4 Search (dawniej Helix Search) pozwala uwierzytelnionemu użytkownikowi z uprawnieniami administracyjnymi na podłączonym serwerze P4 dostarczyć spreparowaną konfigurację logowania, która powoduje zapis lub usunięcie plików poza zamierzonym katalogiem logów. Może to prowadzić do wykonania kodu jako konto usługi P4 Search. Podatność dotyczy P4 Search 2026.4.2 i wcześniejszych; Perforce naprawił ją w 2026.4.3.
Ocena ryzyka
Atakujący z uprawnieniami administracyjnymi może zapisywać lub usuwać pliki poza katalogiem logów, co może prowadzić do wykonania kodu jako konto usługi P4 Search. Może to skutkować pełnym przejęciem usługi.
Rekomendacja
Zaktualizuj P4 Search do wersji 2026.4.3 lub nowszej. Ogranicz uprawnienia administracyjne na podłączonych serwerach P4 i monitoruj nietypowe operacje na plikach.
Inne podatności w P4 Search
Zobacz wszystkie- CVE-2026-103510Krytyczne
P4 Search w wersjach przed 2026.4.2 nie zabezpiecza się w sposób bezpieczny, gdy jego token uwierzytelniania usługi jest pusty. W dotkniętych konfiguracjach nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do naruszenia bezpieczeństwa P4 Search i połączonego serwera P4.
- CVE-2026-100103Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 resetują token uwierzytelniania usługi do publicznie udokumentowanej wartości domyślnej. Nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do wykonania dowolnego kodu i naruszenia bezpieczeństwa połączonego serwera P4.
- CVE-2026-100102Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 włączają nieuwierzytelniony interfejs debugowania Java. Atakujący z dostępem sieciowym do tego interfejsu może wykonać dowolny kod jako konto usługi P4 Search, co może prowadzić do naruszenia bezpieczeństwa połączonego serwera P4.
- CVE-2026-103509Wysokie
P4 Search (dawniej Helix Search) zwraca zapisane poświadczenia w postaci jawnej przez swoje API konfiguracji użytkownikom z uprawnieniami administracyjnymi na podłączonym serwerze P4. Umożliwia to eskalację uprawnień. Podatność dotyczy wersji 2026.4.2 i wcześniejszych, została naprawiona w 2026.4.3.
Oryginalny opis (angielski, źródło NVD)
P4 Search (formerly Helix Search) allows an authenticated user holding administrative privileges on the connected P4 Server to supply a crafted logging configuration that causes files to be written or deleted outside the intended logging directory. This could lead to code execution as the P4 Search service account. This issue affects P4 Search 2026.4.2 and earlier. Perforce resolved it in 2026.4.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS