CVE-2026-113610

ŚrednieCVSS 5.4

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Streszczenie

Xen Orchestra przed 6.9.0 zawiera podatność obejścia autoryzacji w metodzie API xo-server user.set, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami modyfikować preferencje innych użytkowników poprzez podanie dowolnego identyfikatora użytkownika docelowego. Atakujący mogą usunąć sekret TOTP preferences.otp, aby wyłączyć uwierzytelnianie dwuskładnikowe, uszkodzić go, aby zablokować logowanie, lub nadpisać przechowywane xsCredentials i sshKeys.

Ocena ryzyka

Atakujący może wyłączyć uwierzytelnianie dwuskładnikowe lub zablokować logowanie innych użytkowników, a także nadpisać poświadczenia i klucze SSH. Może to prowadzić do przejęcia kont i nieautoryzowanego dostępu do infrastruktury.

Rekomendacja

Zaktualizuj Xen Orchestra do wersji 6.9.0 lub nowszej. Zweryfikuj konfigurację MFA i kluczy SSH po aktualizacji.

Inne podatności w Xen Orchestra

CVE-2026-110111Wysokie
Xen Orchestra przed wersją 6.9.0 zawiera podatność niewłaściwej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi zostać globalnym administratorem poprzez nadużycie niechronionych metod vm.importFromEsxi i vm.importMultipleFromEsxi. Atakujący mogą wskazać xo-server na złośliwy host ESXi serwujący spreparowany plik .vmx z ustawionym __proto__.permission, zanieczyszczając Object.prototype, tak aby konta bez uprawnień dziedziczyły prawa administratora i umożliwiając zdalne wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

Xen Orchestra before 6.9.0 contains an authorization bypass vulnerability in the xo-server user.set API method that allows low-privileged authenticated users to modify other users' preferences by supplying an arbitrary target user id. Attackers can delete the preferences.otp TOTP secret to disable two-factor authentication, corrupt it to block logins, or overwrite stored xsCredentials and sshKeys.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS