CVE-2026-86105
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Fireware OS wykryto podatność niewłaściwej autoryzacji w odwrotnym proxy Access Portal. Uwierzytelniony użytkownik Access Portal z niskimi uprawnieniami może uzyskać dostęp do innych aplikacji internetowych, do których nie jest upoważniony, wysyłając specjalnie spreparowane żądanie dotyczące innego zasobu, do którego ma uprawnienia.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może uzyskać dostęp do nieautoryzowanych aplikacji internetowych, co może prowadzić do naruszenia poufności i integralności danych. Może to skutkować eskalacją uprawnień w środowisku.
Rekomendacja
Zaktualizować Fireware OS do najnowszej wersji zawierającej poprawkę. W międzyczasie ograniczyć dostęp do Access Portal i monitorować nietypowe żądania do zasobów.
Inne podatności w Fireware OS
Zobacz wszystkie- CVE-2026-81851Średnie
Podatność na przepełnienie bufora na stercie w procesie iked w Fireware OS pozwala uwierzytelnionemu administratorowi na doprowadzenie do awarii demona IKE (iked), co skutkuje odmową usługi, poprzez zapisanie specjalnie spreparowanej konfiguracji.
- CVE-2026-3343Średnie
Podatność na odzwierciedlony atak XSS w interfejsie webowym Fireware OS umożliwia wykonanie złośliwego JavaScriptu w przeglądarce uwierzytelnionego użytkownika zarządzającego po kliknięciu specjalnie spreparowanego linku.
- CVE-2025-13939Średnie
Podatność na trwały atak XSS w module Gateway Wireless Controller systemu WatchGuard Fireware OS pozwala na wstrzyknięcie złośliwego skryptu, który jest wykonywany w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in Fireware OS's Access Portal reverse proxy allows an authenticated, low-privileged Access Portal user to access other web applications they are not authorized for by sending a specially crafted request for a different resource which they are authorized to access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS