Aktywnie wykorzystywana w atakach
Progress LoadMaster Command Injection Vulnerability
Progress - LoadMaster · Figuruje w katalogu CISA KEV od 2026-08-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-8037
KrytyczneCVSS 9.6KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność typu OS Command Injection w API produktów Progress ADC umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń na urządzeniu LoadMaster poprzez wykorzystanie niesanitizowanych danych wejściowych w wielu punktach końcowych komend.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu LoadMaster, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem i siecią.
Rekomendacja
Zastosuj łatki bezpieczeństwa dostarczone przez Progress dla produktów ADC i ogranicz dostęp do API tylko dla zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints