CVE-2026-26335
KrytyczneStreszczenie
Wersje Calero VeraSMART przed 2022 R1 używają statycznych wartości machineKey ASP.NET/IIS, które są skonfigurowane dla aplikacji webowej VeraSMART i przechowywane w pliku web.config. Atakujący, który zdobędzie te klucze, może stworzyć ważny ładunek ViewState ASP.NET, co prowadzi do deserializacji po stronie serwera i zdalnego wykonania kodu w kontekście aplikacji IIS.
Ocena ryzyka
Zagrożenie to może prowadzić do poważnych naruszeń bezpieczeństwa, w tym do zdalnego wykonania kodu, co stwarza ryzyko przejęcia kontroli nad serwerem aplikacyjnym. Organizacje mogą być narażone na utratę danych oraz usunięcie lub modyfikację krytycznych zasobów.
Rekomendacja
Zaleca się aktualizację do wersji VeraSMART 2022 R1 lub nowszej, aby usunąć statyczne wartości machineKey. Dodatkowo, należy rozważyć wprowadzenie dodatkowych zabezpieczeń, takich jak monitorowanie i audyt dostępu do plików konfiguracyjnych.
Powiązane podatności
- CVE-2026-93945Krytyczne
Podatność deserializacji niezaufanych danych w motywie Balance firmy Axiomthemes pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.12.0.
- CVE-2026-93944Krytyczne
Podatność deserializacji niezaufanych danych w motywie Camelia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.15.
- CVE-2026-93943Krytyczne
Podatność deserializacji niezaufanych danych w motywie Convex firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93942Krytyczne
Podatność deserializacji niezaufanych danych w motywie Dwell firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93941Krytyczne
Podatność deserializacji niezaufanych danych w motywie Edema firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.2.2.
- CVE-2026-93940Krytyczne
Podatność deserializacji niezaufanych danych w motywie Greeny firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 2.10.0.
- CVE-2026-93938Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hogwords firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.7.
- CVE-2026-93937Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hygia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.21.0.
- CVE-2026-93936Krytyczne
Podatność deserializacji niezaufanych danych w motywie IPharm firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.4.
- CVE-2026-93935Krytyczne
Podatność deserializacji niezaufanych danych w motywie Let's Play firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.1.15.
Oryginalny opis (angielski, źródło NVD)
Calero VeraSMART versions prior to 2022 R1 use static ASP.NET/IIS machineKey values configured for the VeraSMART web application and stored in C:\\Program Files (x86)\\Veramark\\VeraSMART\\WebRoot\\web.config. An attacker who obtains these keys can craft a valid ASP.NET ViewState payload that passes integrity validation and is accepted by the application, resulting in server-side deserialization and remote code execution in the context of the IIS application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS