CVE-2026-34836
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, nieprawidłowa kontrola dostępu w ajax.render.php i ajax.document.php umożliwia dostęp do dokumentów bez sprawdzania uprawnień użytkownika. Problem został naprawiony w wersji 3.2.3.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do dokumentów, co może prowadzić do ujawnienia wrażliwych informacji lub naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację Combodo iTop do wersji 3.2.3 lub nowszej, aby zapewnić właściwą kontrolę dostępu.
Inne podatności w Combodo iTop
Zobacz wszystkie- CVE-2026-39975Krytyczne
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.
- CVE-2026-40877Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-30864Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34949Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelniony użytkownik mógł usunąć plik .readonly na instancjach iTop — plik tworzony podczas procesu instalacji, który uniemożliwia użytkownikom wykonywanie operacji zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34948Wysokie
Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.
- CVE-2026-34741Wysokie
Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.
- CVE-2026-33333Niskie
Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-33240Wysokie
Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.
- CVE-2026-33047Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, obiekt może być zablokowany przez użytkownika, który nie ma przypisanych uprawnień do zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-31936Wysokie
Combodo iTop przed wersją 3.2.3 umożliwia użytkownikom dostęp do nieautoryzowanych informacji o obiektach poprzez operację wyszukiwania. Użytkownik może odczytać dane, do których nie ma uprawnień.
Oryginalny opis (angielski, źródło NVD)
Combodo iTop is a web based IT service management tool. Prior to 3.2.3, improper access control in ajax.render.php and ajax.document.php allows for document access without checking on user permissions. This issue has been fixed in version 3.2.3.