CVE-2026-108070
WysokieCVSS 8.7Streszczenie
Podatność w serwerze WWW TSplus Remote Access dotyczy niewłaściwej kontroli dostępu. Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wewnętrznych zasobów, manipulując ścieżkami przez endpoint /socket.io/JWN/, omijając ograniczenia dostępu.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych wewnętrznych zasobów, co może prowadzić do naruszenia poufności danych i integralności systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek dostarczonych przez producenta oraz wzmocnienie mechanizmów kontroli dostępu na serwerze WWW.
Inne podatności w TSplus Remote Access
Zobacz wszystkie- CVE-2026-108072Średnie
Podatność w TSplus Remote Access wynika z nieprawidłowych uprawnień do współdzielonych skryptów logowania. Pliki autostart1.tscr w katalogu motywów umożliwiają użytkownikom bez wystarczających uprawnień zapis do nich. Lokalny atakujący z ważną sesją na serwerze terminalowym lub zdalnym może zmodyfikować te pliki, aby wykonać dowolne polecenia w kontekście bezpieczeństwa innego użytkownika podczas jego logowania, co może prowadzić do eskalacji uprawnień lub ruchu bocznego.
- CVE-2026-108071Wysokie
Podatność nieprawidłowego uwierzytelniania w mechanizmie wieloskładnikowego uwierzytelniania (MFA) w TSplus Remote Access. Zdalny atakujący uwierzytelniony prawidłowymi danymi pierwszego czynnika może ominąć weryfikację drugiego czynnika, ponieważ przepływ uwierzytelniania niepoprawnie stosuje wynik walidacji MFA, co pozwala atakującemu na ukończenie logowania bez ważnego tokena drugiego czynnika i uzyskanie dostępu do chronionych aplikacji i zasobów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability involving improper access control in the TSplus Remote Access web server that allows an unauthenticated remote attacker to access internal resources protected by manipulated paths through the /socket.io/JWN/ endpoint, bypassing the access restrictions intended for certain internal resources.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS