CVE-2026-125883
KrytyczneCVSS 9.3Streszczenie
N-able N-central przed wersją 26.4.1 jest podatny na niewłaściwe ograniczenie odwołań do zewnętrznych encji XML, co umożliwia zatruwanie schematu XML (XML Schema Poisoning). Podatność dotyczy wersji starszych niż 26.4.1.
Ocena ryzyka
Atakujący może manipulować przetwarzaniem XML w systemie zarządzania, co może prowadzić do nieoczekiwanego zachowania aplikacji lub ujawnienia danych. Wpływa to na integralność systemu monitoringu i zarządzania.
Rekomendacja
Zaktualizuj N-able N-central do wersji 26.4.1 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do interfejsów przetwarzających XML.
Inne podatności w N-able N-central
Zobacz wszystkie- CVE-2026-91000Wysokie
W N-able N-central występuje brak uwierzytelniania dla krytycznej funkcji, co umożliwia eskalację uprawnień. Problem dotyczy wersji N-central przed 2026.4.1.
- CVE-2026-125958Wysokie
W N-able N-central występuje podatność pobierania kodu bez weryfikacji integralności, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji N-central do 24.6.1 włącznie.
- CVE-2026-125882Wysokie
W N-able N-central występuje podatność na przechodzenie ścieżek względnych (relative path traversal), umożliwiająca atakującemu manipulowanie ścieżkami dostępu do plików. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125880Wysokie
W N-able N-central występuje podatność typu Cross-Site Scripting (XSS) wynikająca z niewłaściwej neutralizacji nagłówków HTTP dla składni skryptowej. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125879Wysokie
W N-able N-central występuje podatność polegająca na nieprawidłowym przypisaniu uprawnień, umożliwiająca eskalację uprawnień. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125878Wysokie
W N-able N-central występuje podatność typu cross-site scripting wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, umożliwiająca wstrzyknięcie zasobów. Problem dotyczy wersji N-central przed 26.4.1.
- CVE-2026-125881Krytyczne
N-able N-central przed wersją 26.4.1 zawiera podatność typu Server-Side Request Forgery (SSRF), umożliwiającą atakującemu wymuszenie żądań po stronie serwera. Podatność dotyczy wersji starszych niż 26.4.1.
- CVE-2026-18556WysokieAktywnie exploitowane
Podatność w N-able N-central do wersji 2026.1 umożliwia ominięcie uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału.
- CVE-2025-8876WysokieAktywnie exploitowane
Luka nieprawidłowej walidacji danych wejściowych w N-able N-central pozwala na wstrzyknięcie poleceń systemu operacyjnego. Problem dotyczy wersji N-central przed 2025.3.1.
- CVE-2025-8875WysokieAktywnie exploitowane
Podatność na deserializację niezaufanych danych w N-able N-central umożliwia lokalne wykonanie kodu. Problem dotyczy wersji przed 2025.3.1.
Oryginalny opis (angielski, źródło NVD)
Improper restriction of XML external entity reference vulnerability in N-able N-central allows XML Schema Poisoning. This issue affects N-central: before 26.4.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS