CVE-2026-51081
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w Proxmox Virtual Environment (PVE) 9.x 5.1.8 i 8.x 4.3.16 umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML. Luka występuje w mechanizmie przetwarzania danych wejściowych, co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane uwierzytelniające lub zmodyfikować konfigurację środowiska wirtualizacyjnego. Ryzyko jest wysokie ze względu na krytyczną rolę PVE w zarządzaniu infrastrukturą IT.
Rekomendacja
Należy natychmiast zaktualizować Proxmox VE do najnowszej wersji łatającej podatność. Dodatkowo warto wdrożyć filtrowanie danych wejściowych i ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w Proxmox Virtual Environment
Zobacz wszystkie- CVE-2022-31358Krytyczne
W Proxmox Virtual Environment przed wersją 7.2-3 wykryto odbitą podatność na skrypty między witrynami (XSS). Umożliwia ona zdalnemu atakującemu wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez nieistniejące punkty końcowe w ścieżce /api2/html/.
- CVE-2026-51083Średnie
Podatność w Proxmox Virtual Environment (PVE) 9.x qemu-server przed 9.1.8 i 8.x przed 8.4.8 umożliwia użytkownikom z ograniczonymi uprawnieniami uzyskanie zahaszowanych haseł poprzez API cloudinit/dump z powodu nieprawidłowej kontroli dostępu.
- CVE-2026-51082Wysokie
W Proxmox Virtual Environment (PVE) 9.x i 8.x wykryto warunek wyścigu między wywołaniami API vncproxy i vncwebsocket. Umożliwia on atakującemu z uprawnieniami do wywołania vncproxy przechwycenie sesji VNC ustanowionej równolegle przez innego użytkownika dla innej maszyny wirtualnej.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in Proxmox Virtual Environment (PVE) 9.x 5.1.8 and Proxmox Virtual Environment (PVE) 8.x 4.3.16 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload.