CVE-2026-51083
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w Proxmox Virtual Environment (PVE) 9.x qemu-server przed 9.1.8 i 8.x przed 8.4.8 umożliwia użytkownikom z ograniczonymi uprawnieniami uzyskanie zahaszowanych haseł poprzez API cloudinit/dump z powodu nieprawidłowej kontroli dostępu.
Ocena ryzyka
Ryzyko polega na możliwości wycieku zahaszowanych haseł, co może prowadzić do nieautoryzowanego dostępu do systemów wirtualnych i eskalacji uprawnień w środowisku Proxmox.
Rekomendacja
Zaleca się natychmiastową aktualizację Proxmox Virtual Environment do wersji 9.1.8 lub nowszej (dla wersji 9.x) oraz 8.4.8 lub nowszej (dla wersji 8.x), aby wyeliminować podatność.
Inne podatności w Proxmox Virtual Environment
Zobacz wszystkie- CVE-2022-31358Krytyczne
W Proxmox Virtual Environment przed wersją 7.2-3 wykryto odbitą podatność na skrypty między witrynami (XSS). Umożliwia ona zdalnemu atakującemu wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez nieistniejące punkty końcowe w ścieżce /api2/html/.
- CVE-2026-51082Wysokie
W Proxmox Virtual Environment (PVE) 9.x i 8.x wykryto warunek wyścigu między wywołaniami API vncproxy i vncwebsocket. Umożliwia on atakującemu z uprawnieniami do wywołania vncproxy przechwycenie sesji VNC ustanowionej równolegle przez innego użytkownika dla innej maszyny wirtualnej.
- CVE-2026-51081Średnie
Podatność na atak XSS w Proxmox Virtual Environment (PVE) 9.x 5.1.8 i 8.x 4.3.16 umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML. Luka występuje w mechanizmie przetwarzania danych wejściowych, co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in Proxmox Virtual Environment (PVE) 9.x qemu-server before 9.1.8 and 8.x before 8.4.8 allows users within limited privileges to obtain hashed passwords via the cloudinit/dump API.