CVE-2026-2586
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność na zdalne wykonanie kodu (RCE) w konsoli administracyjnej GlassFish. Użytkownik mający dostęp do panelu może wysłać spreparowane żądania, które umożliwiają wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika usługi aplikacji. Problem dotyczy Eclipse GlassFish: od 8.0.0 do 8.0.1 (poprawione w 8.0.2), 7.1.0 (poprawione w 7.1.1), od 7.0.0 do 7.0.25 (poprawione w 7.0.26). Wpływ na wersje od 5.1.0 do 6.2.5 jest nieznany.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem do konsoli administracyjnej może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnego przejęcia kontroli nad aplikacją i serwerem.
Rekomendacja
Należy natychmiast zaktualizować Eclipse GlassFish do wersji 8.0.2, 7.1.1 lub 7.0.26 w zależności od używanej gałęzi. Dla wersji 5.1.0-6.2.5 zaleca się kontakt z dostawcą w celu uzyskania informacji o poprawce.
Inne podatności w Eclipse GlassFish
Zobacz wszystkie- CVE-2026-12605Krytyczne
W Eclipse GlassFish w wersjach 8.0.x przed 8.0.4 występuje podatność CSRF + SSRF w DownloadServlet ContentSources, która ujawnia administratorowi token `gfresttoken` na kontrolowanym przez atakującego hoście, jeśli ofiara jest uwierzytelniona w konsoli administracyjnej, co prowadzi do pełnego nieuwierzytelnionego przejęcia domeny GlassFish do czasu wygaśnięcia tokena.
- CVE-2026-2587Krytyczne
Krytyczna podatność na zdalne wykonanie kodu w mechanizmie renderowania szablonów po stronie serwera używanym przez handler gadżetów Glassfish pozwala atakującemu na wstrzyknięcie wyrażeń EL, co prowadzi do pełnego przejęcia hosta.
- CVE-2024-9342Krytyczne
W wersjach Eclipse GlassFish przed 8.0.3 istnieje możliwość przeprowadzenia ataków typu brute force na logowanie, ponieważ nie ma ograniczeń dotyczących liczby nieudanych prób logowania.
- CVE-2022-2712Średnie
Podatność względnego przechodzenia po ścieżkach (relative path traversal) w Eclipse GlassFish wersje 5.1.0 do 6.2.5. Nieuwierzytelniony atakujący zdalnie może uzyskać dostęp do plików konfiguracyjnych i kodu źródłowego aplikacji. Naprawione w GlassFish 7.0.0.
Oryginalny opis (angielski, źródło NVD)
An authenticated Remote Code Execution (RCE) vulnerability was identified in GlassFish's Administration Console. A user with access to the panel can send crafted requests that allow the execution of arbitrary operating system commands with the privileges of the application service user. This issue affects Eclipse GlassFish: from 8.0.0 to 8.0.1, fixed in 8.0.2; 7.1.0, fixed in 7.1.1; from 7.0.0 to 7.0.25, fixed in 7.0.26. Impact on versions from 5.1.0 to 6.2.5 is unknown.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS