CVE-2026-30819
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop ma odbitą podatność Cross-Site Scripting (XSS) w funkcji przywracania pulpitu nawigacyjnego z parametrem dashboard_id w /pages/ajax.render.php. Problem naprawiono w wersji 3.2.3.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaleca się aktualizację Combodo iTop do wersji 3.2.3 lub nowszej, aby wyeliminować ryzyko XSS.
Inne podatności w Combodo iTop
Zobacz wszystkie- CVE-2026-39975Krytyczne
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.
- CVE-2026-40877Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-30864Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34949Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelniony użytkownik mógł usunąć plik .readonly na instancjach iTop — plik tworzony podczas procesu instalacji, który uniemożliwia użytkownikom wykonywanie operacji zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34948Wysokie
Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.
- CVE-2026-34836Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, nieprawidłowa kontrola dostępu w ajax.render.php i ajax.document.php umożliwia dostęp do dokumentów bez sprawdzania uprawnień użytkownika. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34741Wysokie
Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.
- CVE-2026-33333Niskie
Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-33240Wysokie
Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.
- CVE-2026-33047Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, obiekt może być zablokowany przez użytkownika, który nie ma przypisanych uprawnień do zapisu. Problem został naprawiony w wersji 3.2.3.
Oryginalny opis (angielski, źródło NVD)
Combodo iTop is a web based IT service management tool. Prior to 3.2.3, iTop has a reflected Cross-Site Scripting (XSS) vulnerability in its dashboard revert functionality with the parameter dashboard_id in /pages/ajax.render.php. This issue has been fixed in version 3.2.3.