CVE-2026-19628
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 79 - wyżej niż 79% wszystkich znanych CVE
Streszczenie
Tenable Security Center ma podatność na wstrzyknięcie poleceń. Uwierzytelniony administrator może zmienić wartości konfiguracyjne aplikacji, aby osiągnąć wykonanie dowolnych poleceń na systemie operacyjnym podczas wyzwalania określonych operacji backendowych.
Ocena ryzyka
Osoba z uprawnieniami administratora może uzyskać pełną kontrolę nad systemem operacyjnym, co może prowadzić do całkowitej kompromitacji środowiska.
Rekomendacja
Zaleca się ograniczenie dostępu do kont administratora oraz monitorowanie zmian konfiguracyjnych. Należy również sprawdzić dostępność aktualizacji od producenta.
Inne podatności w Tenable Security Center
Zobacz wszystkie- CVE-2026-19626Krytyczne
Podatność zdalnego wykonania kodu w funkcji generowania raportów w Tenable Security Center. Uwierzytelniony użytkownik bez uprawnień administracyjnych może dostarczyć specjalnie spreparowane dane, które są niebezpiecznie przetwarzane podczas renderowania raportów po stronie serwera, co prowadzi do wykonania dowolnego kodu z uprawnieniami konta usługi.
- CVE-2026-19629Wysokie
Podatność na eskalację uprawnień w Tenable Security Center umożliwia użytkownikowi z rolą "Security Manager" i uprawnieniem "manage user" w jednej grupie modyfikowanie użytkowników należących do innych grup. To omija zamierzone ograniczenia kontroli dostępu i umożliwia nieautoryzowane zarządzanie użytkownikami między grupami.
- CVE-2025-36636Średnie
W Tenable Security Center przed wersją 6.7.0 istnieje podatność na niewłaściwą kontrolę dostępu, która pozwala uwierzytelnionemu użytkownikowi na dostęp do obszarów poza jego autoryzowanym zakresem.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability exists in Tenable Security Center. An authenticated administrator could modify application configuration values to achieve arbitrary command execution on the underlying operating system when specific backend operations are triggered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS