CVE-2026-89212

WysokieCVSS 8.6

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W Akana API Platform wykryto podatność typu XML external entity (XXE), wynikającą z niewłaściwego ograniczenia odwołań podczas przetwarzania XML do JSON. Problem dotyczy wersji 2026.1, 2025.1.1 oraz wszystkich wersji przed 2024.1.6 (w tym starszych nieobsługiwanych wersji) i został naprawiony jako poprawka bezpieczeństwa w najnowszym wydaniu obsługiwanych wersji.

Ocena ryzyka

Podatność XXE może pozwolić atakującemu na odczyt plików lokalnych, przeprowadzenie ataków SSRF lub wywołanie odmowy usługi na serwerze API, co może naruszyć poufność i dostępność przetwarzanych danych.

Rekomendacja

Zaktualizować Akana API Platform do najnowszej obsługiwanej wersji zawierającej poprawkę bezpieczeństwa, a w przypadku braku możliwości aktualizacji odizolować usługę i ograniczyć przetwarzanie niezaufanych dokumentów XML.

Inne podatności w Akana API Platform

CVE-2026-85978Krytyczne
Podatność na zdalne wykonanie kodu bez uwierzytelnienia w konsoli Policy Manager platformy Akana API Platform. Rozbieżność w normalizacji ścieżek między filtrem uwierzytelniającym a dyspozytorem serwletów umożliwia obejście uwierzytelnienia i dostęp do punktu końcowego, który wykonuje kod skryptowy dostarczony przez atakującego bez piaskownicy, co prowadzi do wykonania dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

A flaw resulting in XML external entity (XXE) was found in Akana API Platform in which references were improperly restricted during XML-to-JSON processing. The issue affects Akana versions 2026.1, 2025.1.1, and all versions before 2024.1.6 (including older unsupported versions of Akana) and has been fixed as a security patch in the latest release of supported versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS