CVE-2026-40877
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu, co może prowadzić do pełnego przejęcia serwera i naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację iTop do wersji 3.2.3 lub nowszej.
Inne podatności w Combodo iTop
Zobacz wszystkie- CVE-2026-39975Krytyczne
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.
- CVE-2026-30864Wysokie
Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34949Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelniony użytkownik mógł usunąć plik .readonly na instancjach iTop — plik tworzony podczas procesu instalacji, który uniemożliwia użytkownikom wykonywanie operacji zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34948Wysokie
Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.
- CVE-2026-34836Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, nieprawidłowa kontrola dostępu w ajax.render.php i ajax.document.php umożliwia dostęp do dokumentów bez sprawdzania uprawnień użytkownika. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-34741Wysokie
Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.
- CVE-2026-33333Niskie
Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-33240Wysokie
Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.
- CVE-2026-33047Średnie
Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, obiekt może być zablokowany przez użytkownika, który nie ma przypisanych uprawnień do zapisu. Problem został naprawiony w wersji 3.2.3.
- CVE-2026-31936Wysokie
Combodo iTop przed wersją 3.2.3 umożliwia użytkownikom dostęp do nieautoryzowanych informacji o obiektach poprzez operację wyszukiwania. Użytkownik może odczytać dane, do których nie ma uprawnień.
Oryginalny opis (angielski, źródło NVD)
Combodo iTop is a web-based IT service management tool. Prior to 3.2.3, iTop is vulnerable to PHP object injection in the user preference functionality, which can lead to remote code execution. This issue has been fixed in version 3.2.3.