CVE-2026-106042
KrytyczneCVSS 9.9Streszczenie
W Ivanti Xtraction przed wersją 2026.4 występuje podatność External Control of File Name or Path, która pozwala zdalnemu uwierzytelnionemu atakującemu przekierować żądania generowane przez aplikację do kontrolowanego przez siebie endpointu i uzyskać poświadczenia konektora EPMM przesyłane przez aplikację.
Ocena ryzyka
Atakujący może przechwycić poświadczenia konektora EPMM, co umożliwia nieautoryzowany dostęp do systemów zarządzania mobilnością i dalszą eskalację. Narusza to poufność i może prowadzić do kompromitacji zarządzanych urządzeń.
Rekomendacja
Zaktualizuj Ivanti Xtraction do wersji 2026.4 lub nowszej. Po aktualizacji rozważ rotację poświadczeń konektora EPMM i sprawdź logi pod kątem nietypowych przekierowań.
Inne podatności w Ivanti Xtraction
Zobacz wszystkie- CVE-2026-106047Wysokie
Podatność typu path traversal w funkcji eksportu szablonów w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt dowolnych plików.
- CVE-2026-106043Wysokie
Podatność braku uwierzytelniania dla funkcji krytycznej w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu nieuwierzytelnionemu atakującemu na tworzenie i modyfikowanie zaufanych witryn.
- CVE-2026-106034Średnie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.4 pozwala uwierzytelnionemu zdalnemu atakującemu na tworzenie i modyfikowanie dowolnych katalogów w systemie plików hosta.
- CVE-2026-8043Krytyczne
W Ivanti Xtraction przed wersją 2026.2 występuje zewnętrzna kontrola nazwy pliku, co pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt wrażliwych plików oraz zapis dowolnych plików HTML w katalogu webowym, co prowadzi do ujawnienia informacji oraz potencjalnych ataków po stronie klienta.
- CVE-2026-14903Wysokie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, uwierzytelnionemu atakującemu odczyt dowolnych plików poza katalogiem głównym serwera WWW.
- CVE-2026-14902Średnie
Podatność open redirect w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przekierowanie użytkowników na dowolne zewnętrzne adresy URL.
Oryginalny opis (angielski, źródło NVD)
An External Control of File Name or Path vulnerability in Ivanti Xtraction before version 2026.4 allows a remote authenticated attacker to redirect application-generated requests to an attacker-controlled endpoint and obtain EPMM connector credentials transmitted by the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS