CVE-2026-61502
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 pozwala na wykonywanie żądań zmieniających stan przez metodę GET, która jest wyłączona z kontroli nagłówka anty-CSRF. Zdalny atakujący może wykonać działania administracyjne, w tym tworzenie kont i zmianę konfiguracji, prowadzące do wykonania kodu.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad serwerem HFS przez atakującego, który może nakłonić administratora do kliknięcia w spreparowany link lub, w przypadku domyślnych instalacji, przeprowadzić atak z własnej maszyny serwera bez uwierzytelnienia.
Rekomendacja
Zaleca się natychmiastową aktualizację Rejetto HFS do wersji nowszej niż 3.2.0 oraz wdrożenie mechanizmów ochrony przed CSRF dla wszystkich metod HTTP, w tym GET.
Inne podatności w Rejetto HFS
Zobacz wszystkie- CVE-2026-61500Krytyczne
Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 polega na generowaniu klucza podpisu ciasteczka sesji przy użyciu niekryptograficznego generatora Math.random() oraz ujawnianiu jego wyników nieuwierzytelnionym klientom podczas logowania. Zdalny atakujący może zebrać kilka odpowiedzi logowania, odtworzyć stan generatora, odzyskać klucz podpisu i sfałszować ważne ciasteczko sesji administratora, co prowadzi do pełnego dostępu administracyjnego i zdalnego wykonania kodu przez funkcję konfiguracji server_code.
- CVE-2026-61505Średnie
Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu odczyt plików JSON poza udostępnionymi folderami poprzez manipulację parametrem 'lang'. Eksploatacja jest ograniczona do plików o wąskim wzorcu nazewnictwa i formatu, co zmniejsza praktyczne ryzyko.
- CVE-2026-61504Średnie
Podatność w Rejetto HFS w wersjach 3.0.0 do 3.2.0 pozwala na atak XSS poprzez nieprawidłowe kodowanie nazw plików w podstawowym widoku listy. Atakujący z uprawnieniami do przesyłania plików lub anonimowy użytkownik może przesłać plik o złośliwej nazwie, która wykona skrypt w przeglądarce ofiary.
- CVE-2026-61503Średnie
Rejetto HFS w wersjach od 3.0.0 do 3.2.0 zwraca różne odpowiedzi z punktu logowania w zależności od tego, czy podana nazwa użytkownika istnieje. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę różnicę do potwierdzenia prawidłowych nazw kont, w tym domyślnego konta administratora.
- CVE-2026-61501Średnie
Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 polega na braku sanityzacji wpisów dziennika w panelu administracyjnym. Zdalny, nieuwierzytelniony atakujący może wysłać nieudane logowanie z spreparowaną nazwą użytkownika, która jest zapisywana do dziennika błędów i wykonuje JavaScript w przeglądarce administratora podczas przeglądania logów.
Oryginalny opis (angielski, źródło NVD)
Rejetto HFS 3.0.0 through 3.2.0 accepts state-changing API requests via the GET method and exempts GET requests from its anti-CSRF header check. A remote attacker can perform administrative actions including account creation and configuration changes leading to code execution - by causing a logged-in administrator's browser to navigate to a crafted URL, or without any credentials against default installations when the attack originates from the server's own machine.