CVE-2026-106043
WysokieCVSS 7.5Streszczenie
Podatność braku uwierzytelniania dla funkcji krytycznej w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu nieuwierzytelnionemu atakującemu na tworzenie i modyfikowanie zaufanych witryn.
Ocena ryzyka
Atakujący może dodać złośliwe witryny do listy zaufanych, co może prowadzić do dalszych ataków, takich jak phishing lub wstrzyknięcie treści.
Rekomendacja
Należy zaktualizować Ivanti Xtraction do wersji 2026.4 lub nowszej. Zaleca się również weryfikację listy zaufanych witryn i monitorowanie nieautoryzowanych zmian.
Inne podatności w Ivanti Xtraction
Zobacz wszystkie- CVE-2026-106047Wysokie
Podatność typu path traversal w funkcji eksportu szablonów w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt dowolnych plików.
- CVE-2026-106034Średnie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.4 pozwala uwierzytelnionemu zdalnemu atakującemu na tworzenie i modyfikowanie dowolnych katalogów w systemie plików hosta.
- CVE-2026-106042Krytyczne
W Ivanti Xtraction przed wersją 2026.4 występuje podatność External Control of File Name or Path, która pozwala zdalnemu uwierzytelnionemu atakującemu przekierować żądania generowane przez aplikację do kontrolowanego przez siebie endpointu i uzyskać poświadczenia konektora EPMM przesyłane przez aplikację.
- CVE-2026-8043Krytyczne
W Ivanti Xtraction przed wersją 2026.2 występuje zewnętrzna kontrola nazwy pliku, co pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt wrażliwych plików oraz zapis dowolnych plików HTML w katalogu webowym, co prowadzi do ujawnienia informacji oraz potencjalnych ataków po stronie klienta.
- CVE-2026-14903Wysokie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, uwierzytelnionemu atakującemu odczyt dowolnych plików poza katalogiem głównym serwera WWW.
- CVE-2026-14902Średnie
Podatność open redirect w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przekierowanie użytkowników na dowolne zewnętrzne adresy URL.
Oryginalny opis (angielski, źródło NVD)
A Missing Authentication for Critical Function vulnerability in Ivanti Xtraction before version 2026.4 allows a remote unauthenticated attacker to create, modify, trusted site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS