CVE-2026-84791
WysokieCVSS 7.1Streszczenie
Podatność na złamanie kontroli dostępu w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.710 i niższych, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na modyfikację konfiguracji harmonogramów raportów Change Management dla zapór spoza ich zakresu.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może zmieniać konfiguracje raportów dla zapór, do których nie powinien mieć dostępu, co narusza zasadę najmniejszych uprawnień.
Rekomendacja
Zaktualizuj ManageEngine OpManager i Firewall Analyzer do wersji nowszej niż 12.8.710, która zawiera poprawkę.
Inne podatności w ManageEngine OpManager
Zobacz wszystkie- CVE-2026-76980Wysokie
Podatność na ekspozycję danych w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.709 i niższych, występująca w kolektorze syslog Firewall Analyzer.
- CVE-2026-76979Wysokie
Podatność na wstrzyknięcie XML w funkcji Rule Tracking Compare Policies w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.709 i niższych.
- CVE-2026-76978Wysokie
Podatność na wstrzyknięcie komend w funkcji Diagnose Settings w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.709 i niższych.
- CVE-2026-75825Wysokie
Podatność na obejście uwierzytelniania w Zoho ManageEngine OpManager w wersjach 12.8.710 i niższych, gdy włączony jest plugin Application Manager.
- CVE-2026-84789Wysokie
Podatność w ZohoCorp ManageEngine OpManager i Firewall Analyzer (wersje 12.8.710 i starsze) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami tworzenie powiadomień o alertach dla firewalli spoza ich zakresu. Jest to problem z uszkodzoną kontrolą dostępu.
- CVE-2026-84787Wysokie
Podatność w ZohoCorp ManageEngine OpManager i Firewall Analyzer (wersje 12.8.710 i starsze) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami uzyskanie uprawnień administratora poprzez import profilu raportu. Jest to eskalacja uprawnień.
- CVE-2026-15358Wysokie
Podatność w ZohoCorp ManageEngine OpManager i Network Configuration Manager (wersje przed 12.8.671) umożliwia nieautoryzowany atak typu Path Traversal.
- CVE-2026-14913Wysokie
Podatność w ZohoCorp ManageEngine OpManager i Firewall Analyzer (wersje 12.8.669 i starsze) umożliwia atak SQL Injection w funkcji Rule Management Search Reports.
Oryginalny opis (angielski, źródło NVD)
ZohoCorp ManageEngine OpManager and Firewall Analyzer versions 12.8.710 and below were vulnerable to a Broken Access Control vulnerability that allowed an authenticated low-privilege user to modify Change Management report schedule configurations for firewalls outside their assigned scope.