CVE-2026-2586
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność na zdalne wykonanie kodu (RCE) w konsoli administracyjnej GlassFish. Użytkownik mający dostęp do panelu może wysłać spreparowane żądania, które umożliwiają wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika usługi aplikacji. Problem dotyczy Eclipse GlassFish: od 8.0.0 do 8.0.1 (poprawione w 8.0.2), 7.1.0 (poprawione w 7.1.1), od 7.0.0 do 7.0.25 (poprawione w 7.0.26). Wpływ na wersje od 5.1.0 do 6.2.5 jest nieznany.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem do konsoli administracyjnej może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnego przejęcia kontroli nad aplikacją i serwerem.
Rekomendacja
Należy natychmiast zaktualizować Eclipse GlassFish do wersji 8.0.2, 7.1.1 lub 7.0.26 w zależności od używanej gałęzi. Dla wersji 5.1.0-6.2.5 zaleca się kontakt z dostawcą w celu uzyskania informacji o poprawce.
Oryginalny opis (angielski, źródło NVD)
An authenticated Remote Code Execution (RCE) vulnerability was identified in GlassFish's Administration Console. A user with access to the panel can send crafted requests that allow the execution of arbitrary operating system commands with the privileges of the application service user. This issue affects Eclipse GlassFish: from 8.0.0 to 8.0.1, fixed in 8.0.2; 7.1.0, fixed in 7.1.1; from 7.0.0 to 7.0.25, fixed in 7.0.26. Impact on versions from 5.1.0 to 6.2.5 is unknown.