CVE-2026-3329
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność w Sonatype Nexus Repository umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przeprowadzanie ataków polegających na odgadywaniu haseł użytkowników za pośrednictwem punktów końcowych uwierzytelniania.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kont użytkowników poprzez ataki brute-force lub słownikowe, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i zarządzanych artefaktów.
Rekomendacja
Zaleca się natychmiastową aktualizację Sonatype Nexus Repository do najnowszej wersji zawierającej poprawkę oraz wdrożenie mechanizmów ograniczających próby logowania, takich jak blokada konta po kilku nieudanych próbach.
Inne podatności w Sonatype Nexus Repository
Zobacz wszystkie- CVE-2026-3199Krytyczne
Podatność w komponencie zarządzania zadaniami Sonatype Nexus Repository w wersjach 3.22.1 do 3.90.2 pozwala uwierzytelnionemu atakującemu z uprawnieniami do tworzenia zadań na wykonanie dowolnego kodu, omijając zabezpieczenie nexus.scripts.allowCreation.
- CVE-2026-10748Wysokie
Użytkownik z uprawnieniami nx-licensing-create może przesłać specjalnie przygotowany plik licencyjny, co pozwala na wykonanie dowolnych poleceń systemowych jako użytkownik procesu Nexus w wersjach Sonatype Nexus Repository 3 przed 3.92.0.
- CVE-2026-3438Średnie
Sonatype Nexus Repository w wersjach 3.0.0 do 3.90.2 zawiera odbitą podatność cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScript w przeglądarce ofiary poprzez specjalnie spreparowany URL. Wymaga interakcji użytkownika.
Oryginalny opis (angielski, źródło NVD)
A remote unauthenticated attacker may be able to conduct credential-guessing attacks against user accounts in Sonatype Nexus Repository via authentication endpoints.