CVE-2026-119682

WysokieCVSS 7.9

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

W ManageEngine SharePoint Manager Plus (SPMP) występuje niewłaściwa kontrola dostępu w funkcji uwierzytelniania wieloskładnikowego (MFA). Użytkownik z niskimi uprawnieniami może ominąć kontrole autoryzacji, aby odczytywać i modyfikować ustawienia MFA, włączać lub wyłączać MFA, wyliczać użytkowników zapisanych do MFA oraz usuwać ich konta. Podatność naprawiono w buildzie 4507.

Ocena ryzyka

Atakujący może osłabić ochronę uwierzytelniania lub spowodować denial of service poprzez błędne ustawienia MFA, blokując legalnym użytkownikom dostęp do aplikacji.

Rekomendacja

Zaktualizuj SharePoint Manager Plus do builda 4507 lub nowszego. Ogranicz uprawnienia kont i monitoruj zmiany w konfiguracji MFA.

Inne podatności w ManageEngine SharePoint Manager Plus

CVE-2026-119680Wysokie
W SharePoint Manager Plus (SPMP) występuje podatność stored XSS w funkcji wykresów z powodu niewłaściwej sanityzacji i kodowania HTML danych kontrolowanych przez użytkownika. Atakujący może wstrzyknąć złośliwy HTML lub JavaScript do atrybutów używanych do generowania wykresów, w tym pełnych imion i nazwisk użytkowników, nazw witryn lub grup. Wstrzyknięta treść jest przechowywana i wykonywana w przeglądarkach innych użytkowników. Podatność naprawiono w buildzie 4508.

Oryginalny opis (angielski, źródło NVD)

An improper access control vulnerability exists in the multi-factor authentication (MFA) functionality of ManageEngine SharePoint Manager Plus (SPMP). A low-privileged authenticated user can bypass authorization checks to read and modify MFA configuration settings, enable or disable MFA for the application, enumerate MFA-enrolled users, and delete MFA-enrolled accounts. Successful exploitation could allow an attacker to weaken authentication protections or cause a denial of service by configuring invalid MFA settings, potentially locking legitimate users out of the application. This vulnerability was fixed in build 4507. The reproduction explicitly uses build 4506.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS