CVE-2026-69228
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Esri Portal for ArcGIS w wersjach 12.0 i wcześniejszych występuje podatność na brak uwierzytelnienia, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na dostęp do konkretnego zasobu (nie będącego treścią użytkownika), który powinien być dostępny tylko dla uwierzytelnionych użytkowników. Użytkownicy ArcGIS Enterprise 11.1, 11.3, 11.5 lub 12.0 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do zasobów, które powinny być chronione, co może prowadzić do ujawnienia wrażliwych informacji lub naruszenia kontroli dostępu.
Rekomendacja
Zaleca się zastosowanie poprawki od Esri oraz uaktualnienie do najnowszej wersji wsparcia długoterminowego.
Inne podatności w Esri Portal for ArcGIS
Zobacz wszystkie- CVE-2026-13019Krytyczne
Podatność w Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych na Windows, Linux i Kubernetes umożliwia zdalnemu, nieuwierzytelnionemu atakującemu dostęp do niezabezpieczonego API z powodu braku uwierzytelnienia dla krytycznej funkcji.
- CVE-2026-33519Krytyczne
W Esri Portal for ArcGIS w wersjach 11.4, 11.5 i 12.0 na systemach Windows, Linux oraz Kubernetes występuje luka związana z nieprawidłową autoryzacją, która nie sprawdza poprawnie uprawnień przypisanych do poświadczeń dewelopera.
- CVE-2026-33518Krytyczne
W Esri Portal for ArcGIS 11.5 na systemy Windows i Linux występuje podatność związana z nieprawidłowym przypisaniem uprawnień, która pozwala użytkownikom z wysokimi uprawnieniami na tworzenie poświadczeń dewelopera, co może skutkować przyznaniem większych uprawnień niż oczekiwano.
- CVE-2026-69238Niskie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z wysokimi uprawnieniami na wstawienie dowolnego kodu HTML do aplikacji Portal for ArcGIS Home. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.
- CVE-2026-69237Niskie
W Esri Portal for ArcGIS w wersjach 11.3 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z uprawnieniami administracyjnymi na wstawienie dowolnego kodu HTML do API administracyjnego. Użytkownicy ArcGIS Enterprise 11.1 i 11.3 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.
- CVE-2026-69236Średnie
W Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3, 11.5, 12.0 lub 12.1 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego i zastosować poprawkę.
- CVE-2026-69235Średnie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny kod w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.
- CVE-2026-69234Średnie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje odzwierciedlona podatność na skryptowanie między witrynami (reflected XSS), która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na utworzenie spreparowanego linku, który po kliknięciu może potencjalnie wykonać dowolny kod JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego. Użytkownicy ArcGIS Web App Builder developer edition są proszeni o migrację do ArcGIS Experience Builder, ponieważ ArcGIS Web App Builder developer edition nie jest wspierany w momencie przypisania tego CVE.
- CVE-2026-69233Średnie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami administracyjnymi na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny kod w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.
- CVE-2026-69232Średnie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.
Oryginalny opis (angielski, źródło NVD)
There is a missing authentication vulnerability in Esri Portal for ArcGIS versions 12.0 and prior that may allow a remote, unauthenticated attacker to access a specific resource (not user content) that should only be accessible by authenticated users. Users working with ArcGIS Enterprise 11.1, 11.3, 11.5, or 12.0 are encouraged to patch. All users are advised to upgrade to the latest long-term support release.