CVE-2026-125881
KrytyczneCVSS 9.3Streszczenie
N-able N-central przed wersją 26.4.1 zawiera podatność typu Server-Side Request Forgery (SSRF), umożliwiającą atakującemu wymuszenie żądań po stronie serwera. Podatność dotyczy wersji starszych niż 26.4.1.
Ocena ryzyka
Atakujący może wykorzystać serwer do wysyłania żądań do zasobów wewnętrznych, co może prowadzić do ujawnienia informacji lub dostępu do usług niedostępnych z zewnątrz. Może to posłużyć do dalszej eskalacji ataku w sieci wewnętrznej.
Rekomendacja
Zaktualizuj N-able N-central do wersji 26.4.1 lub nowszej. Ogranicz możliwość wykonywania żądań wychodzących z serwera do niezbędnych zasobów.
Inne podatności w N-able N-central
Zobacz wszystkie- CVE-2026-91000Wysokie
W N-able N-central występuje brak uwierzytelniania dla krytycznej funkcji, co umożliwia eskalację uprawnień. Problem dotyczy wersji N-central przed 2026.4.1.
- CVE-2026-125958Wysokie
W N-able N-central występuje podatność pobierania kodu bez weryfikacji integralności, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji N-central do 24.6.1 włącznie.
- CVE-2026-125882Wysokie
W N-able N-central występuje podatność na przechodzenie ścieżek względnych (relative path traversal), umożliwiająca atakującemu manipulowanie ścieżkami dostępu do plików. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125880Wysokie
W N-able N-central występuje podatność typu Cross-Site Scripting (XSS) wynikająca z niewłaściwej neutralizacji nagłówków HTTP dla składni skryptowej. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125879Wysokie
W N-able N-central występuje podatność polegająca na nieprawidłowym przypisaniu uprawnień, umożliwiająca eskalację uprawnień. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125878Wysokie
W N-able N-central występuje podatność typu cross-site scripting wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, umożliwiająca wstrzyknięcie zasobów. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125883Krytyczne
N-able N-central przed wersją 26.4.1 jest podatny na niewłaściwe ograniczenie odwołań do zewnętrznych encji XML, co umożliwia zatruwanie schematu XML (XML Schema Poisoning). Podatność dotyczy wersji starszych niż 26.4.1.
- CVE-2026-18556WysokieAktywnie exploitowane
Podatność w N-able N-central do wersji 2026.1 umożliwia ominięcie uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału.
- CVE-2025-8876WysokieAktywnie exploitowane
Luka nieprawidłowej walidacji danych wejściowych w N-able N-central pozwala na wstrzyknięcie poleceń systemu operacyjnego. Problem dotyczy wersji N-central przed 2025.3.1.
- CVE-2025-8875WysokieAktywnie exploitowane
Podatność na deserializację niezaufanych danych w N-able N-central umożliwia lokalne wykonanie kodu. Problem dotyczy wersji przed 2025.3.1.
Oryginalny opis (angielski, źródło NVD)
Server-Side request forgery (SSRF) vulnerability in N-able N-central allows Server Side Request Forgery. This issue affects N-central: before 26.4.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS