CVE-2026-103511
ŚrednieCVSS 5.1Streszczenie
Perforce P4 Search przed wersją 2026.4.2 nie waliduje nazw plików dostarczanych do funkcji instalacji rozszerzeń. Atakujący z uprawnieniami superużytkownika lub tokenem usługi może zapisywać pliki o dowolnej treści w katalogu instalacyjnym P4 Search.
Ocena ryzyka
Atakujący może umieścić złośliwe pliki w katalogu instalacyjnym, co może prowadzić do przejęcia kontroli nad aplikacją lub wykonania nieautoryzowanego kodu.
Rekomendacja
Zaktualizuj Perforce P4 Search do wersji 2026.4.2 lub nowszej, która zawiera poprawkę. Ogranicz również uprawnienia superużytkownika i tokenów usługi.
Inne podatności w Perforce P4 Search
Zobacz wszystkie- CVE-2026-103512Średnie
Perforce P4 Search przed wersją 2026.4.2 ufa adresowi dostarczonemu przez klienta podczas walidacji niektórych żądań uwierzytelnienia. Atakujący posiadający skradziony bilet P4 Server może ominąć ograniczenia oparte na hoście i kontrole zaufanych adresów, uzyskując dostęp do P4 Search jako właściciel biletu.
- CVE-2026-103507Wysokie
Perforce P4 Search w wersjach przed 2026.4.2 nie ogranicza ścieżek plików zapisywanych przez interfejs konfiguracji logowania. Atakujący posiadający token uwierzytelniający usługi może zapisać dowolne pliki na hoście, co potencjalnie prowadzi do wykonania kodu w kontekście konta usługi P4 Search.
Oryginalny opis (angielski, źródło NVD)
Perforce P4 Search prior to 2026.4.2 does not validate file names supplied to its extension installation feature. An attacker with super-user or service-token privileges can write files with arbitrary content to the P4 Search installation directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS