CVE-2026-11596
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W wersjach ScreenConnect™ przed 26.2, walidacja danych wejściowych w funkcji tworzenia Host Pass mogła pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia Host Pass na określenie czasu wygaśnięcia tokenu poza zamierzonym maksymalnym limitem.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do zasobów, jeśli użytkownik wykorzysta tę lukę do wydłużenia ważności tokenów dostępu.
Rekomendacja
Zaleca się aktualizację do wersji 26.2 lub nowszej, aby zabezpieczyć się przed tą podatnością.
Inne podatności w ScreenConnect™
Zobacz wszystkie- CVE-2026-3564Krytyczne
Podatność w komponencie serwera ScreenConnect umożliwia osobie posiadającej dostęp do materiałów kryptograficznych używanych do uwierzytelniania na poziomie serwera uzyskanie nieautoryzowanego dostępu, w tym podwyższonych uprawnień, w określonych scenariuszach. Agenci klienccy ScreenConnect (host i gość) nie są bezpośrednio dotknięci tą podatnością.
- CVE-2025-14265Krytyczne
W wersjach ScreenConnect przed 25.8 walidacja po stronie serwera i kontrola integralności w podsystemie rozszerzeń mogły umożliwić instalację i wykonanie niezaufanych lub dowolnych rozszerzeń przez autoryzowanych lub administracyjnych użytkowników. Nadużycie tego zachowania mogło skutkować wykonaniem niestandardowego kodu na serwerze lub nieautoryzowanym dostępem do danych konfiguracyjnych aplikacji. Problem dotyczy tylko komponentu serwera ScreenConnect; klienci host i guest nie są dotknięci.
Oryginalny opis (angielski, źródło NVD)
In ScreenConnect™ versions prior to 26.2, input validation within the Host Pass creation functionality could allow an authenticated user with Host Pass creation privileges the ability to specify a token expiration duration beyond the intended maximum when generating delegated access tokens.