CVE-2026-2740

WysokieCVSS 8.4

Opublikowano: 21/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.70%

Percentyl 75 - wyżej niż 75% wszystkich znanych CVE

Streszczenie

Podatność na zdalne wykonanie kodu w produktach Zohocorp ManageEngine: ADSelfService Plus przed 6525, DataSecurity Plus przed 6264 i RecoveryManager Plus przed 6313. Błąd wynika z wadliwej zależności zewnętrznej.

Ocena ryzyka

Uwierzytelniony atakujący może zdalnie wykonać dowolny kod na maszynach agentów, co może prowadzić do pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj ADSelfService Plus do wersji 6525 lub nowszej, DataSecurity Plus do 6264 lub nowszej, a RecoveryManager Plus do 6313 lub nowszej.

Inne podatności w ManageEngine

CVE-2022-47966KrytyczneAktywnie exploitowane
Luka zdalnego wykonania kodu w wielu produktach Zoho ManageEngine (on-premise) spowodowana użyciem Apache Santuario xmlsec 1.4.1, gdzie funkcje XSLT nie są odpowiednio zabezpieczone. Eksploatacja możliwa tylko jeśli skonfigurowano SAML SSO.

Oryginalny opis (angielski, źródło NVD)

Zohocorp ManageEngine ADSelfService Plus version before 6525, DataSecurity Plus before 6264 and RecoveryManager Plus before 6313 are vulnerable to Authenticated Remote code execution in the agent machines due to the bug in the 3rd party dependency.