CVE-2026-15640
KrytyczneCVSS 9.5Streszczenie
W pewnych warunkach prawidłowa odpowiedź SAML IdP może zostać wykorzystana do podszycia się pod innego użytkownika Secret Server. Podatność dotyczy mechanizmu uwierzytelniania SAML.
Ocena ryzyka
Atakujący może uzyskać dostęp do kont innych użytkowników Secret Server, co może prowadzić do nieautoryzowanego dostępu do przechowywanych sekretów i danych uwierzytelniających.
Rekomendacja
Zastosuj dostępne poprawki producenta dla Secret Server dotyczące walidacji odpowiedzi SAML. Rozważ ograniczenie lub monitorowanie integracji SAML do czasu wdrożenia poprawki.
Inne podatności w Secret Server
Zobacz wszystkie- CVE-2026-15639Krytyczne
Atakujący może spreparować złośliwy link, który — jeśli zostanie użyty przez legalnego użytkownika — może spowodować uruchomienie w przeglądarce użytkownika kodu JavaScript dostarczonego przez atakującego. Podatność dotyczy mechanizmu przetwarzania linków.
- CVE-2026-15638Krytyczne
Nieuwierzytelniony użytkownik z dostępem do Secret Server może wykorzystać padding oracle do odszyfrowania lub zaszyfrowania danych przy użyciu jednego z kluczy kryptograficznych serwera. Sam klucz nie jest ujawniany.
Oryginalny opis (angielski, źródło NVD)
Under certain conditions a valid SAML IdP response may be used to impersonate another Secret Server user.