CVE-2026-28263
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Dell PowerProtect Data Domain z DD OS zawiera podatność cross-site scripting (XSS). Wysoko uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do wstrzyknięcia skryptu.
Ocena ryzyka
Możliwe wykonanie złośliwego skryptu w kontekście przeglądarki użytkownika, kradzież sesji lub danych oraz dalsze ataki w imieniu ofiary. Wymaga jednak wysokich uprawnień atakującego.
Rekomendacja
Zaktualizować DD OS do wersji zawierającej poprawkę wskazaną przez Dell. Ograniczyć dostęp administracyjny do interfejsu i wdrożyć nagłówki bezpieczeństwa (CSP) oraz walidację danych wejściowych.
Inne podatności w Dell PowerProtect Data Domain (DD OS)
Zobacz wszystkie- CVE-2026-23777Średnie
Dell PowerProtect Data Domain z systemem DD OS w wersjach Feature Release 7.7.1.0–8.5, LTS2025 8.3.1.0–8.3.1.20 oraz LTS2024 7.13.1.0–7.13.1.50 zawiera podatność polegającą na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Niskouprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.
- CVE-2026-23779Średnie
Dell PowerProtect Data Domain z systemem DD OS w wersjach Feature Release 7.7.1.0–8.5, LTS2025 8.3.1.0–8.3.1.20 oraz LTS2024 7.13.1.0–7.13.1.50 zawiera podatność na wstrzyknięcie poleceń. Uprzywilejowany atakujący z dostępem lokalnym może wykorzystać tę podatność do uzyskania dostępu na poziomie root.
- CVE-2025-43727Wysokie
Dell PowerProtect Data Domain z systemem DD OS zawiera podatność polegającą na nieprawidłowej implementacji algorytmu uwierzytelniania w interfejsie RestAPI. Problem dotyczy wersji Feature Release 7.7.1.0–8.1.0.10, LTS2024 7.13.1.0–7.13.1.25 oraz LTS 2023 7.10.1.0–7.10.1.50. Nieuwierzytelniony zdalny atakujący może potencjalnie wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.5, LTS2025 release version 8.3.1.0 through 8.3.1.20, LTS2024 release versions 7.13.1.0 through 7.13.1.50, contain a cross-site Scripting vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to Script injection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS