CVE-2026-53472
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wada w migration-planner. Niewystarczająca walidacja pola AgentStatusUpdate.CredentialUrl pozwala uwierzytelnionemu atakującemu przechowywać złośliwy adres URL javascript:. Gdy ofiara wyświetli ten adres w Hybrid Cloud Console, może to prowadzić do Cross-Site Scripting (XSS), umożliwiając wykonanie skryptu w sesji ofiary i potencjalne ujawnienie wrażliwych informacji.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkownika, kradzież danych i nieautoryzowane działania w kontekście ofiary.
Rekomendacja
Zaleca się aktualizację migration-planner do wersji z poprawką oraz walidację i sanityzację pól URL przed ich zapisaniem i wyświetleniem.
Inne podatności w migration-planner
Zobacz wszystkie- CVE-2026-53474Krytyczne
W systemie migration-planner znaleziono lukę, która pozwala zdalnemu, uwierzytelnionemu atakującemu na przesłanie specjalnie przygotowanego pliku RVTools .xlsx. Z powodu niewłaściwej sanitizacji danych wejściowych, złośliwe zapytania SQL osadzone w komórkach arkusza są wykonywane podczas przetwarzania nazw klastrów.
- CVE-2026-53471Krytyczne
W migratorze występuje luka, w której middleware agent-API nie weryfikuje poprawnie roszczenia source_id w tokenach JWT. To pozwala uwierzytelnionemu atakującemu na manipulację danymi między różnymi najemcami, co prowadzi do całkowitego załamania izolacji najemców.
- CVE-2026-53470Krytyczne
W systemie migration-planner znaleziono lukę, która pozwala uwierzytelnionemu atakującemu na obejście kontroli dostępu w punkcie końcowym `/api/v1/sources/{id}/image-url`. Dzięki temu atakujący może uzyskać presigned S3 URL-e do obrazów OVA należących do innych użytkowników.
- CVE-2026-53469Krytyczne
W systemie migration-planner znaleziono lukę, która pozwala uwierzytelnionemu użytkownikowi na wysłanie żądania DELETE do trasy /api/v1/sources, co prowadzi do braku odpowiedniej autoryzacji i filtrowania. To umożliwia zniszczenie wszystkich danych klientów, w tym źródeł, agentów i ocen.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in migration-planner. Insufficient validation of the `AgentStatusUpdate.CredentialUrl` field allows an authenticated attacker to store a malicious `javascript:` URL. When a victim views this URL in the Hybrid Cloud Console, it can lead to Cross-Site Scripting (XSS), enabling script execution in the victim's session and potentially disclosing sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS