CVE-2026-105046
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Kentico Xperience 13 przed wersją 13.0.216 nie ma kontroli autoryzacji na poziomie obiektów dla punktów końcowych API administracyjnych.
Ocena ryzyka
Brak kontroli autoryzacji może pozwolić nieautoryzowanym użytkownikom na dostęp do wrażliwych funkcji administracyjnych, co grozi naruszeniem danych i integralności systemu.
Rekomendacja
Zaktualizuj Kentico Xperience do wersji 13.0.216 lub nowszej, która zawiera poprawkę. Dodatkowo przeglądaj i egzekwuj kontrolę dostępu na poziomie obiektów.
Inne podatności w Kentico Xperience
Zobacz wszystkie- CVE-2025-2747KrytyczneAktywnie exploitowane
Podatność obejścia uwierzytelniania w Kentico Xperience umożliwia obejście uwierzytelniania przez obsługę hasła w komponencie Staging Sync Server dla typu serwera None. Obejście uwierzytelniania pozwala atakującemu kontrolować obiekty administracyjne. Problem dotyczy Xperience do wersji 13.0.178.
- CVE-2025-2746KrytyczneAktywnie exploitowane
Podatność obejścia uwierzytelniania w Kentico Xperience umożliwia obejście uwierzytelniania przez obsługę hasła w Staging Sync Server dla pustych nazw użytkownika SHA1 w uwierzytelnianiu digest. Obejście uwierzytelniania pozwala atakującemu kontrolować obiekty administracyjne. Problem dotyczy Xperience do wersji 13.0.172.
- CVE-2025-5591Średnie
Kentico Xperience 13 jest podatny na przechowywany atak XSS przez komponent formularza, umożliwiający atakującemu przejęcie sesji użytkownika i wykonywanie działań w jego kontekście bezpieczeństwa.
- CVE-2020-36890Wysokie
Podatność polegająca na obejściu kontroli dostępu w Kentico Xperience pozwala administratorom na modyfikowanie uprawnień globalnych administratorów poprzez nieautoryzowane żądania. Atakujący mogą potencjalnie przejąć konta globalnych administratorów i unieważnić wrażliwe makra bezpieczeństwa poprzez manipulację poziomami uprawnień użytkowników.
Oryginalny opis (angielski, źródło NVD)
Kentico Xperience 13 before 13.0.216 lacks object-level authorization checks for administration API endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS