CVE-2026-2253
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.7 i 11.0.0.0, w tym 9.3.x i 8.3.x, nie zapobiega rozwiązywaniu zewnętrznych encji przez niektóre parsery XML.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu plików na serwerze, przeprowadzenia ataku SSRF lub wywołania odmowy usługi.
Rekomendacja
Zaktualizuj Hitachi Vantara Pentaho do wersji 10.2.0.7, 11.0.0.0 lub nowszej.
Inne podatności w Hitachi Vantara Pentaho
Zobacz wszystkie- CVE-2026-2255Średnie
Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.6 i 11.0.0.0 (w tym 9.3.x i 8.3.x) ujawnia poświadczenia klastra Hadoop w postaci jawnego tekstu przez API Cluster Test. Użytkownik może wykorzystać te poświadczenia do przesyłania zadań przez backend API.
- CVE-2026-2254Średnie
Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.6 i 11.0.0.0, w tym 9.3.x i 8.3.x, nie stosuje list kontroli dostępu (ACL) na niektórych punktach końcowych API związanych z powiadomieniami e-mail platformy.
Oryginalny opis (angielski, źródło NVD)
Hitachi Vantara Pentaho Data Integration & Analytics versions before 10.2.0.7 and 11.0.0.0, including 9.3.x and 8.3.x, does not prevent certain XML parsers from resolving external entities.