CVE-2026-87109
ŚrednieCVSS 5.3Streszczenie
Uwierzytelniony członek organizacji Ops Manager może pobrać oczekujący seed rejestracji authenticatora innego członka poprzez endpointy listy użytkowników, gdy rejestracja tego członka jest niepotwierdzona. Prowadzi to do ujawnienia tajnego materiału uwierzytelniającego innemu członkowi tej samej organizacji lub projektu.
Ocena ryzyka
Atakujący może uzyskać dostęp do tajnych danych uwierzytelniających innego użytkownika, co może umożliwić obejście uwierzytelniania wieloskładnikowego i przejęcie konta.
Rekomendacja
Zaktualizuj Ops Manager do wersji, która nie ujawnia seedów rejestracji w endpointach listy użytkowników, oraz ogranicz dostęp do tych endpointów.
Inne podatności w Ops Manager
Zobacz wszystkie- CVE-2026-87110Średnie
Nieuwierzytelniony użytkownik z dostępem sieciowym do portu webowego Ops Manager może wielokrotnie żądać endpointów monitorowania wykonujących kosztowne operacje bez ograniczeń szybkości. Może to tymczasowo spowolnić inny ruch obsługiwany przez ten sam proces, podczas gdy żądania są kontynuowane.
- CVE-2026-87108Niskie
Uwierzytelniony użytkownik Ops Manager z rolą tylko do odczytu w projekcie może pobrać dzienny rekord monitorowania hosta należący do innego projektu, jeśli zna identyfikator rekordu. Niewystarczająca walidacja własności może ujawnić metadane wdrożenia, w tym szczegóły hosta i konfiguracji.
Oryginalny opis (angielski, źródło NVD)
An authenticated Ops Manager organization member can retrieve another member's pending authenticator enrollment seed through user-listing endpoints while that member's enrollment is unconfirmed. This results in disclosure of secret authentication material to another member of the same organization or project.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS