CVE-2026-106078
ŚrednieCVSS 6.9Streszczenie
Nieuwierzytelniony atakujący może obejść uwierzytelnianie REST API za pomocą sfałszowanego tokenu federacji i otrzymywać odpowiedzi z punktów końcowych REST API, które nie wywołują usługi backupu Veeam Backup for Microsoft 365.
Ocena ryzyka
Obejście uwierzytelniania może ujawnić informacje z API oraz umożliwić nieautoryzowany dostęp do funkcji zarządzania.
Rekomendacja
Zastosuj poprawkę producenta, ogranicz dostęp sieciowy do REST API oraz monitoruj nietypowe żądania z tokenami federacji.
Inne podatności w Veeam Backup for Microsoft 365
Zobacz wszystkie- CVE-2026-106077Wysokie
Podatność pozwala użytkownikowi z rolą Administrator w Veeam Backup for Microsoft 365 na odczyt dowolnych plików na serwerze backupu z uprawnieniami LocalSystem.
- CVE-2025-64394Średnie
Niskouprzywilejowany użytkownik lokalny może zapisać dowolne pliki z uprawnieniami SYSTEM podczas instalacji Veeam Backup for Microsoft 365, co może prowadzić do eskalacji uprawnień lub odmowy działania.
- CVE-2026-106076Krytyczne
Podatność umożliwia uwierzytelnionemu peerowi transferu organizacji wstrzyknięcie SQL do bazy danych konfiguracji źródłowego serwera Veeam Backup for Microsoft 365. Prowadzi to do między-tenantowego odczytu i zapisu danych konfiguracyjnych oraz zdalnego wykonania kodu w kontekście konta usługi PostgreSQL.
Oryginalny opis (angielski, źródło NVD)
A vulnerability allowing an unauthenticated attacker to bypass REST API authentication with a forged federation token and receive responses from REST API endpoints that do not call the Veeam Backup for Microsoft 365 backup service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS