CVE-2026-106034
ŚrednieCVSS 5.0Streszczenie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.4 pozwala uwierzytelnionemu zdalnemu atakującemu na tworzenie i modyfikowanie dowolnych katalogów w systemie plików hosta.
Ocena ryzyka
Atakujący może tworzyć i modyfikować dowolne katalogi na serwerze, co może prowadzić do uszkodzenia systemu lub dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj Ivanti Xtraction do wersji 2026.4 lub nowszej i zweryfikuj uprawnienia kont uwierzytelnionych mających dostęp do aplikacji.
Inne podatności w Ivanti Xtraction
Zobacz wszystkie- CVE-2026-106047Wysokie
Podatność typu path traversal w funkcji eksportu szablonów w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt dowolnych plików.
- CVE-2026-106043Wysokie
Podatność braku uwierzytelniania dla funkcji krytycznej w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu nieuwierzytelnionemu atakującemu na tworzenie i modyfikowanie zaufanych witryn.
- CVE-2026-106042Krytyczne
W Ivanti Xtraction przed wersją 2026.4 występuje podatność External Control of File Name or Path, która pozwala zdalnemu uwierzytelnionemu atakującemu przekierować żądania generowane przez aplikację do kontrolowanego przez siebie endpointu i uzyskać poświadczenia konektora EPMM przesyłane przez aplikację.
- CVE-2026-8043Krytyczne
W Ivanti Xtraction przed wersją 2026.2 występuje zewnętrzna kontrola nazwy pliku, co pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt wrażliwych plików oraz zapis dowolnych plików HTML w katalogu webowym, co prowadzi do ujawnienia informacji oraz potencjalnych ataków po stronie klienta.
- CVE-2026-14903Wysokie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, uwierzytelnionemu atakującemu odczyt dowolnych plików poza katalogiem głównym serwera WWW.
- CVE-2026-14902Średnie
Podatność open redirect w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przekierowanie użytkowników na dowolne zewnętrzne adresy URL.
Oryginalny opis (angielski, źródło NVD)
A Path Traversal vulnerability in Ivanti Xtraction before version 2026.4 allows a remote authenticated attacker to create, modify, arbitrary directories the host file system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS