CVE-2026-63339

WysokieCVSS 8.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na podniesienie uprawnień do poziomu administratora. Ograniczenie funkcji administracyjnych zmniejsza ekspozycję, ale nie stanowi pełnego rozwiązania. Podatność naprawiono w wersji 7.3.0.

Ocena ryzyka

Zwykły uwierzytelniony użytkownik może uzyskać pełną kontrolę administracyjną nad aplikacją zarządzającą punktem wymiany ruchu, co może prowadzić do nieautoryzowanych zmian konfiguracji i naruszenia bezpieczeństwa infrastruktury IXP.

Rekomendacja

Zaktualizuj IXP Manager do wersji 7.3.0 lub nowszej. Do czasu aktualizacji ogranicz liczbę kont z dostępem do aplikacji.

Inne podatności w IXP Manager

CVE-2026-63338Wysokie
IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi na przeglądanie i edycję zasobu należącego do innego użytkownika bez autoryzacji. Ścieżka edycji/aktualizacji klucza API w `ApiKeyController` wybiera rekordy po identyfikatorze bez sprawdzenia zgodności `user_id` z wywołującym. Podatność naprawiono w wersji 7.3.0.

Oryginalny opis (angielski, źródło NVD)

IXP Manager is a full-stack web application for managing Internet Exchange Points. Prior to version 7.3.0, an authenticated, non-administrative user can elevate their privileges to administrator status. Restricting administrative functions reduces exposure but is not a complete fix. This issue is fixed in version 7.3.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS