CVE-2026-12370
WysokieCVSS 7.6Streszczenie
Produkty ZohoCorp ManageEngine OpManager, NetFlow Analyzer i Network Configuration Manager w wersjach 12.8.667 i starszych są podatne na podatność Server-Side Template Injection w przetwarzaniu Configlet, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co może prowadzić do pełnego przejęcia systemu i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej dostępnej wersji produktów ManageEngine, która zawiera poprawkę dla tej podatności.
Inne podatności w ManageEngine
Zobacz wszystkie- CVE-2022-47966KrytyczneAktywnie exploitowane
Luka zdalnego wykonania kodu w wielu produktach Zoho ManageEngine (on-premise) spowodowana użyciem Apache Santuario xmlsec 1.4.1, gdzie funkcje XSLT nie są odpowiednio zabezpieczone. Eksploatacja możliwa tylko jeśli skonfigurowano SAML SSO.
- CVE-2026-2740Wysokie
Podatność na zdalne wykonanie kodu w produktach Zohocorp ManageEngine: ADSelfService Plus przed 6525, DataSecurity Plus przed 6264 i RecoveryManager Plus przed 6313. Błąd wynika z wadliwej zależności zewnętrznej.
Oryginalny opis (angielski, źródło NVD)
ZohoCorp ManageEngine OpManager, NetFlow Analyzer, and Network Configuration Manager versions 12.8.667 and below were vulnerable to a Server-Side Template Injection vulnerability in Configlet processing, which could lead to Remote Code Execution.