CVE-2026-21404

ŚrednieCVSS 6.3

Opublikowano: 04/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Aplikacja NAVTOR NavBox w wersji do 4.16.1.20 zawiera zakodowane na stałe poświadczenia w implementacji Windows Communication Foundation (SOAP). Lokalny atakujący może wyodrębnić te poświadczenia, aby ominąć zamierzony przepływ transferu i uzyskać dostęp do uprzywilejowanych metod WCF, umożliwiających zapis lub nadpisanie plików w zdefiniowanych ścieżkach aplikacji.

Ocena ryzyka

Lokalny atakujący może uzyskać nieautoryzowany dostęp do funkcji SOAP, co pozwala na modyfikację plików aplikacji, potencjalnie prowadząc do eskalacji uprawnień lub naruszenia integralności danych.

Rekomendacja

Zaktualizować NAVTOR NavBox do najnowszej wersji, która usuwa zakodowane na stałe poświadczenia. Jeśli to możliwe, wyłączyć funkcjonalność SOAP, jeśli nie jest wymagana.

Inne podatności w NAVTOR NavBox

CVE-2026-2752Średnie
Navtor NavBox umożliwia ujawnienie informacji poprzez punkt końcowy /api/ais-data. Zdalny, nieautoryzowany atakujący może wysłać spreparowane żądania, co prowadzi do nieobsłużonego wyjątku i zwrócenia szczegółowych śladów stosu .NET przez serwer.

Oryginalny opis (angielski, źródło NVD)

NAVTOR NavBox through version 4.16.1.20 contains hard-coded credentials within its Windows Communication Foundation (SOAP) implementation. If the SOAP functionality is enabled, a local attacker can extract credentials to bypass the intended transfer workflow. Successful authentication against the SOAP interface grants access to privileged WCF methods, enabling an attacker to write or overwrite files within application-defined paths.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS