CVE-2026-106047
WysokieCVSS 7.7Streszczenie
Podatność typu path traversal w funkcji eksportu szablonów w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt dowolnych plików.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików systemowych, co może prowadzić do ujawnienia danych i dalszych ataków.
Rekomendacja
Należy zaktualizować Ivanti Xtraction do wersji 2026.4 lub nowszej. Zaleca się również ograniczenie uprawnień uwierzytelnionych użytkowników i audyt dostępu do plików.
Inne podatności w Ivanti Xtraction
Zobacz wszystkie- CVE-2026-106043Wysokie
Podatność braku uwierzytelniania dla funkcji krytycznej w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu nieuwierzytelnionemu atakującemu na tworzenie i modyfikowanie zaufanych witryn.
- CVE-2026-106034Średnie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.4 pozwala uwierzytelnionemu zdalnemu atakującemu na tworzenie i modyfikowanie dowolnych katalogów w systemie plików hosta.
- CVE-2026-106042Krytyczne
W Ivanti Xtraction przed wersją 2026.4 występuje podatność External Control of File Name or Path, która pozwala zdalnemu uwierzytelnionemu atakującemu przekierować żądania generowane przez aplikację do kontrolowanego przez siebie endpointu i uzyskać poświadczenia konektora EPMM przesyłane przez aplikację.
- CVE-2026-8043Krytyczne
W Ivanti Xtraction przed wersją 2026.2 występuje zewnętrzna kontrola nazwy pliku, co pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt wrażliwych plików oraz zapis dowolnych plików HTML w katalogu webowym, co prowadzi do ujawnienia informacji oraz potencjalnych ataków po stronie klienta.
- CVE-2026-14903Wysokie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, uwierzytelnionemu atakującemu odczyt dowolnych plików poza katalogiem głównym serwera WWW.
- CVE-2026-14902Średnie
Podatność open redirect w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przekierowanie użytkowników na dowolne zewnętrzne adresy URL.
Oryginalny opis (angielski, źródło NVD)
A Path Traversal vulnerability in the template export functionality of Ivanti Xtraction before version 2026.4 allows a remote authenticated attacker to read arbitrary files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS