CVE-2026-69226
ŚrednieCVSS 6.5Streszczenie
Błąd w Portal for ArcGIS pozwala nieuwierzytelnionym użytkownikom tworzyć nowe konta przez punkt końcowy udostępniania, nawet gdy samodzielna rejestracja kont jest wyłączona (disableSignup=true). Atakujący może obejść zamierzone ograniczenie, manipulując procesem rejestracji, co skutkuje nieautoryzowanym utworzeniem konta.
Ocena ryzyka
Atakujący może tworzyć nieautoryzowane konta w systemie, co może prowadzić do nieuprawnionego dostępu do zasobów i danych. Ryzyko dotyczy instancji Portal for ArcGIS z wyłączoną samodzielną rejestracją.
Rekomendacja
Zastosuj dostępne aktualizacje lub poprawki dla Portal for ArcGIS. Monitoruj tworzenie kont i sprawdź, czy nie powstały nieautoryzowane konta.
Inne podatności w Portal for ArcGIS
Zobacz wszystkie- CVE-2026-10759Średnie
Luka w Portal for ArcGIS może pozwolić na wstrzyknięcie LDAP poprzez funkcjonalność administracyjną, która konstruuje zapytania wyszukiwania Active Directory lub LDAP bez wystarczającej neutralizacji danych wejściowych. Uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe, które modyfikują zamierzone zapytanie LDAP i powodują nieoczekiwane operacje w katalogu.
- CVE-2026-69227Krytyczne
Luka w Portal for ArcGIS umożliwia nieuwierzytelniony dostęp do niektórych punktów końcowych API /portaladmin/local w określonych warunkach. Może to pozwolić atakującemu na dostęp do funkcji administracyjnych, które powinny wymagać uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
A flaw in Portal for ArcGIS allows unauthenticated users to create new accounts through the sharing endpoint even when self-service account registration is disabled (disableSignup=true). An attacker can bypass the intended restriction by manipulating the signup workflow, resulting in unauthorized account creation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS