CVE-2026-48851
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W kliencie PuTTY w wersjach 0.77 do 0.83 wykryto, że ikona PuTTY jest używana jako wskaźnik zaufania dla danych TELNET, ale stan zaufania nie jest resetowany między uwierzytelnianiem proxy a sesją główną.
Ocena ryzyka
Użytkownik może zostać oszukany, aby zaufać danym pochodzącym z niezaufanego źródła, co może prowadzić do ataków phishingowych lub przejęcia sesji.
Rekomendacja
Należy zaktualizować PuTTY do wersji 0.84 lub nowszej, która zawiera poprawkę.
Inne podatności w PuTTY
Zobacz wszystkie- CVE-2017-6542Krytyczne
Funkcja ssh_agent_channel_data w PuTTY przed wersją 0.68 pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez dużą wartość długości w wiadomości protokołu agenta, co prowadzi do przepełnienia bufora.
- CVE-2026-48852Niskie
W PuTTY w wersjach od 0.71 do 0.83 występuje błąd asercji podczas weryfikacji podpisu ECDSA. Problem został naprawiony w wersji 0.84.
- CVE-2026-48850Niskie
PuTTY w wersjach od 0.72 do przed 0.84 zawiera podwójne zwolnienie pamięci (double free) w obsłudze wymiany kluczy RSA (RSA KEX).
Oryginalny opis (angielski, źródło NVD)
PuTTY 0.77 before 0.84 uses a copy of the PuTTY icon as a trust indication for TELNET data but the trust status is not cleared between proxy authentication and the main session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS