CVE-2026-10759
ŚrednieCVSS 5.5Streszczenie
Luka w Portal for ArcGIS może pozwolić na wstrzyknięcie LDAP poprzez funkcjonalność administracyjną, która konstruuje zapytania wyszukiwania Active Directory lub LDAP bez wystarczającej neutralizacji danych wejściowych. Uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe, które modyfikują zamierzone zapytanie LDAP i powodują nieoczekiwane operacje w katalogu.
Ocena ryzyka
Administrator może wykonać nieautoryzowane operacje w katalogu LDAP/Active Directory, co może prowadzić do ujawnienia lub modyfikacji danych katalogowych. Wymaga to jednak uprawnień administracyjnych, co ogranicza krąg potencjalnych atakujących.
Rekomendacja
Zastosuj dostępne aktualizacje bezpieczeństwa dla Portal for ArcGIS. Dodatkowo wdróż walidację i neutralizację danych wejściowych w zapytaniach LDAP.
Inne podatności w Portal for ArcGIS
Zobacz wszystkie- CVE-2026-69226Średnie
Błąd w Portal for ArcGIS pozwala nieuwierzytelnionym użytkownikom tworzyć nowe konta przez punkt końcowy udostępniania, nawet gdy samodzielna rejestracja kont jest wyłączona (disableSignup=true). Atakujący może obejść zamierzone ograniczenie, manipulując procesem rejestracji, co skutkuje nieautoryzowanym utworzeniem konta.
- CVE-2026-69227Krytyczne
Luka w Portal for ArcGIS umożliwia nieuwierzytelniony dostęp do niektórych punktów końcowych API /portaladmin/local w określonych warunkach. Może to pozwolić atakującemu na dostęp do funkcji administracyjnych, które powinny wymagać uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
A flaw in Portal for ArcGIS could allow LDAP injection through administrative functionality that constructs Active Directory or LDAP search queries without sufficient input neutralization. An authenticated administrator could supply crafted input that modifies the intended LDAP query and causes unintended directory operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS