CVE-2026-71171
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w interfejsie REST API. Wysoko uprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę podatność, prowadząc do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu przez uprzywilejowanego atakującego, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się aktualizację Dell Cloud Disaster Recovery do najnowszej wersji, która zawiera poprawkę, oraz ograniczenie dostępu do REST API tylko dla zaufanych użytkowników.
Inne podatności w Dell Cloud Disaster Recovery
Zobacz wszystkie- CVE-2026-70419Krytyczne
Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, którą może wykorzystać atakujący z wysokimi uprawnieniami i zdalnym dostępem, prowadząc do wykonania poleceń.
- CVE-2026-71172Średnie
Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność Server-Side Request Forgery (SSRF). Atakujący z niskimi uprawnieniami i zdalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do fałszowania żądań po stronie serwera.
- CVE-2025-43943Średnie
Dell Cloud Disaster Recovery w wersjach przed 19.20 zawiera podatność typu OS Command Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Wysoko uprzywilejowany atakujący z dostępem lokalnym może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.
Oryginalny opis (angielski, źródło NVD)
Dell Cloud Disaster Recovery, versions 20.2 and prior, contain an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in the REST API. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to Remote execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS