CVE-2026-8801
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność typu równoważności ścieżek w module przesyłania plików Progress MOVEit Transfer umożliwia potencjalne ominięcie zabezpieczeń. Problem dotyczy wersji przed 2025.0.8 oraz od 2025.1.0 do 2025.1.4.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do plików lub wykonania operacji poza dozwolonymi ścieżkami, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować MOVEit Transfer do wersji 2025.0.8 lub nowszej (dla gałęzi 2025.0) albo do wersji 2025.1.4 lub nowszej (dla gałęzi 2025.1).
Inne podatności w Progress MOVEit Transfer
Zobacz wszystkie- CVE-2026-8800Niskie
Podatność nieprawidłowej autoryzacji w module Audit User systemu Progress MOVEit Transfer. Luka umożliwia nieautoryzowany dostęp do funkcji audytu użytkowników.
- CVE-2026-8650Średnie
Podatność polegająca na przechodzeniu do względnych ścieżek (relative path traversal) w module ustawień administracyjnych Progress MOVEit Transfer. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.
- CVE-2026-8649Średnie
Podatność w Progress MOVEit Transfer (moduł Custom Reports) umożliwia niewłaściwą neutralizację specjalnych elementów w logice zapytań danych. Luka występuje w wersjach przed 2025.0.7 oraz od 2025.1.0 do 2025.1.3.
- CVE-2026-11903Wysokie
W module Ad Hoc oprogramowania Progress MOVEit Transfer wykryto podatność na ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Podatność umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do przeglądarki ofiary.
- CVE-2026-10699Wysokie
W module Custom Reports w Progress MOVEit Transfer wykryto podatność polegającą na braku zwalniania pamięci po zakończeniu jej użytecznego okresu życia. Problem dotyczy wersji 2025.0.0 przed 2025.0.8, 2025.1.0 przed 2025.1.4 oraz 2026.0.0 przed 2026.0.1.
- CVE-2026-10698Wysokie
W Progress MOVEit Transfer w module Custom Reports wykryto podatność polegającą na niewłaściwej neutralizacji specjalnych elementów w logice zapytań do danych. Umożliwia to atakującemu manipulację zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
Path equivalence: vulnerability in Progress MOVEit Transfer (File Upload modules). This issue affects MOVEit Transfer: before 2025.0.8, from 2025.1.0 before 2025.1.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS