CVE-2026-86109

ŚrednieCVSS 6.6

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Przepływ aktualizacji oprogramowania VeloCloud Edge może akceptować pakiety aktualizacji bez prawidłowej weryfikacji ich podpisów, ponieważ nie ogranicza algorytmu skrótu używanego do weryfikacji artefaktów. Atakujący z odpowiednimi uprawnieniami do przesyłania pakietów do VeloCloud Orchestrator lub z poświadczeniami dostępu do Edge może zainstalować nieautoryzowane oprogramowanie.

Ocena ryzyka

Możliwość zainstalowania nieautoryzowanego oprogramowania na urządzeniach Edge stwarza ryzyko kompromitacji infrastruktury sieciowej, w tym wdrożenia złośliwego kodu lub backdoorów. Wymaga to jednak wcześniejszego uzyskania uprawnień do Orchestratora lub Edge.

Rekomendacja

Restrict permissions for uploading update packages in VeloCloud Orchestrator and secure access to Edge devices. Monitor vendor updates and apply the patch when available.

Inne podatności w VeloCloud Edge

CVE-2026-86108Wysokie
Niewystarczająca walidacja danych wejściowych dostarczanych przez dotknięte przepływy zarządzania i konfiguracji VeloCloud Edge może spowodować, że autoryzowane żądanie zarządzania lub wartość konfiguracji zostanie zinterpretowana jako polecenie systemu operacyjnego. Skuteczne wykorzystanie może pozwolić na wykonanie poleceń z podwyższonymi uprawnieniami na dotkniętym VeloCloud Edge.

Oryginalny opis (angielski, źródło NVD)

The VeloCloud Edge software update workflow may accept update bundles without properly validating their signatures because the workflow does not restrict the digest algorithm used for artifact verification. An attacker with either sufficient privileges to upload packages to VeloCloud Orchestrator or credentials permitting direct access to an Edge may be able to install unauthorized software.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS