CVE-2026-106126

KrytyczneCVSS 9.9

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Streszczenie

Podatność na wstrzykiwanie poleceń w Active Directory Events Listener w Tenable Identity Exposure (SaaS) pozwala uwierzytelnionemu atakującemu o niskich uprawnieniach na wykonanie dowolnych poleceń jako SYSTEM na PDCe.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może eskalować uprawnienia do poziomu SYSTEM, co może prowadzić do pełnej kompromitacji kontrolera domeny i całej domeny.

Rekomendacja

Zastosuj poprawki bezpieczeństwa od Tenable oraz ogranicz uprawnienia użytkowników i monitoruj aktywność na PDCe.

Inne podatności w Tenable Identity Exposure

CVE-2026-13007Wysokie
Tenable Identity Exposure zawiera wiele nieautoryzowanych punktów końcowych API pod /w/api/*, które ujawniają wrażliwe dane konfiguracyjne aplikacji, w tym hasła LDAP w postaci niezaszyfrowanej, konfigurację SAML, konta użytkowników oraz ustawienia katalogu. Odpowiedzi są serwowane z nagłówkami Cache-Control: public i bez Vary: Cookie, co pozwala na buforowanie i udostępnianie tych danych nieautoryzowanym użytkownikom.

Oryginalny opis (angielski, źródło NVD)

A command injection vulnerability in the Active Directory Events Listener of Tenable Identity Exposure (SaaS) allows an authenticated, low-privileged attacker to execute arbitrary commands as SYSTEM on the PDCe.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS