CVE-2026-69227
KrytyczneCVSS 9.8Streszczenie
Luka w Portal for ArcGIS umożliwia nieuwierzytelniony dostęp do niektórych punktów końcowych API /portaladmin/local w określonych warunkach. Może to pozwolić atakującemu na dostęp do funkcji administracyjnych, które powinny wymagać uwierzytelnienia.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do funkcji administracyjnych portalu, co może prowadzić do zmiany konfiguracji, ujawnienia danych lub przejęcia kontroli nad portalem.
Rekomendacja
Zastosuj dostępne aktualizacje bezpieczeństwa dla Portal for ArcGIS i ogranicz dostęp sieciowy do punktów końcowych /portaladmin/local.
Inne podatności w Portal for ArcGIS
Zobacz wszystkie- CVE-2026-69226Średnie
Błąd w Portal for ArcGIS pozwala nieuwierzytelnionym użytkownikom tworzyć nowe konta przez punkt końcowy udostępniania, nawet gdy samodzielna rejestracja kont jest wyłączona (disableSignup=true). Atakujący może obejść zamierzone ograniczenie, manipulując procesem rejestracji, co skutkuje nieautoryzowanym utworzeniem konta.
- CVE-2026-10759Średnie
Luka w Portal for ArcGIS może pozwolić na wstrzyknięcie LDAP poprzez funkcjonalność administracyjną, która konstruuje zapytania wyszukiwania Active Directory lub LDAP bez wystarczającej neutralizacji danych wejściowych. Uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe, które modyfikują zamierzone zapytanie LDAP i powodują nieoczekiwane operacje w katalogu.
Oryginalny opis (angielski, źródło NVD)
A flaw in Portal for ArcGIS allows unauthenticated access to certain /portaladmin/local API endpoints under specific conditions. This could enable an attacker to access administrative functionality that should require authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS