CVE-2026-125880
WysokieCVSS 8.3Streszczenie
W N-able N-central występuje podatność typu Cross-Site Scripting (XSS) wynikająca z niewłaściwej neutralizacji nagłówków HTTP dla składni skryptowej. Problem dotyczy wersji N-central przed 26.4.1.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty wykonywane w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych logowania. Wpływa to na poufność i integralność kont użytkowników.
Rekomendacja
Zaktualizuj N-able N-central do wersji 26.4.1 lub nowszej. Rozważ wdrożenie nagłówków bezpieczeństwa i filtrowania treści.
Inne podatności w N-able N-central
Zobacz wszystkie- CVE-2026-91000Wysokie
W N-able N-central występuje brak uwierzytelniania dla krytycznej funkcji, co umożliwia eskalację uprawnień. Problem dotyczy wersji N-central przed 2026.4.1.
- CVE-2026-125958Wysokie
W N-able N-central występuje podatność pobierania kodu bez weryfikacji integralności, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji N-central do 24.6.1 włącznie.
- CVE-2026-125882Wysokie
W N-able N-central występuje podatność na przechodzenie ścieżek względnych (relative path traversal), umożliwiająca atakującemu manipulowanie ścieżkami dostępu do plików. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125879Wysokie
W N-able N-central występuje podatność polegająca na nieprawidłowym przypisaniu uprawnień, umożliwiająca eskalację uprawnień. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125878Wysokie
W N-able N-central występuje podatność typu cross-site scripting wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, umożliwiająca wstrzyknięcie zasobów. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125883Krytyczne
N-able N-central przed wersją 26.4.1 jest podatny na niewłaściwe ograniczenie odwołań do zewnętrznych encji XML, co umożliwia zatruwanie schematu XML (XML Schema Poisoning). Podatność dotyczy wersji starszych niż 26.4.1.
- CVE-2026-125881Krytyczne
N-able N-central przed wersją 26.4.1 zawiera podatność typu Server-Side Request Forgery (SSRF), umożliwiającą atakującemu wymuszenie żądań po stronie serwera. Podatność dotyczy wersji starszych niż 26.4.1.
- CVE-2026-18556WysokieAktywnie exploitowane
Podatność w N-able N-central do wersji 2026.1 umożliwia ominięcie uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału.
- CVE-2025-8876WysokieAktywnie exploitowane
Luka nieprawidłowej walidacji danych wejściowych w N-able N-central pozwala na wstrzyknięcie poleceń systemu operacyjnego. Problem dotyczy wersji N-central przed 2025.3.1.
- CVE-2025-8875WysokieAktywnie exploitowane
Podatność na deserializację niezaufanych danych w N-able N-central umożliwia lokalne wykonanie kodu. Problem dotyczy wersji przed 2025.3.1.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of HTTP headers for scripting syntax vulnerability in N-able N-central allows Cross-Site Scripting (XSS). This issue affects N-central: before 26.4.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS