CVE-2026-30826
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 występuje podatność na odbity Cross-Site Scripting (XSS) w funkcji testowania zapytań OQL. Problem został naprawiony w wersji 3.2.3.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta użytkownika.
Rekomendacja
Zaleca się natychmiastową aktualizację Combodo iTop do wersji 3.2.3 lub nowszej, aby wyeliminować ryzyko związane z tą podatnością.
Inne podatności w Combodo iTop
Zobacz wszystkie- CVE-2026-39975Krytyczne
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.
- CVE-2026-40877Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-30864Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34949Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelniony użytkownik mógł usunąć plik .readonly na instancjach iTop — plik tworzony podczas procesu instalacji, który uniemożliwia użytkownikom wykonywanie operacji zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34948Wysokie
Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.
- CVE-2026-34836Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, nieprawidłowa kontrola dostępu w ajax.render.php i ajax.document.php umożliwia dostęp do dokumentów bez sprawdzania uprawnień użytkownika. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34741Wysokie
Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.
- CVE-2026-33333Niskie
Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-33240Wysokie
Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.
- CVE-2026-33047Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, obiekt może być zablokowany przez użytkownika, który nie ma przypisanych uprawnień do zapisu. Problem został naprawiony w wersji 3.2.3.
Oryginalny opis (angielski, źródło NVD)
Combodo iTop is a web based IT service management tool. Prior to 3.2.3, there is a Reflected Cross-Site Scripting (XSS) vulnerability in the testing OQL query functionality. This issue has been fixed in version 3.2.3.