CVE-2026-9778
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność typu directory traversal w metodzie ImportDeviceList oprogramowania ATEN Unizon umożliwia zdalne wykonanie kodu. Problem wynika z braku walidacji ścieżki podanej przez użytkownika przed użyciem jej w operacjach na plikach. Do wykorzystania wymagane jest uwierzytelnienie.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad systemem w kontekście SYSTEM, co prowadzi do przejęcia infrastruktury i potencjalnego dostępu do wrażliwych danych.
Rekomendacja
Należy niezwłocznie zastosować aktualizację dostarczoną przez producenta ATEN oraz ograniczyć dostęp do interfejsu administracyjnego tylko dla zaufanych użytkowników.
Inne podatności w ATEN Unizon
Zobacz wszystkie- CVE-2026-5057Wysokie
Podatność w ATEN Unizon RpcProvider umożliwia zdalnemu atakującemu wywołanie odmowy usługi (DoS) bez uwierzytelniania. Brak autoryzacji przed dostępem do funkcji RpcProvider pozwala na przeciążenie systemu.
- CVE-2026-9776Wysokie
Podatność typu Directory Traversal w metodzie writeFileToHttpServletResponse w ATEN Unizon umożliwia zdalnym atakującym ujawnienie poufnych informacji bez uwierzytelnienia. Problem wynika z braku walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach.
- CVE-2026-9774Średnie
Podatność w metodzie updateLicense oprogramowania ATEN Unizon umożliwia zdalną, uwierzytelnioną osobę do usunięcia dowolnych plików w systemie. Problem wynika z braku walidacji ścieżki podanej przez użytkownika przed użyciem jej w operacjach na plikach.
Oryginalny opis (angielski, źródło NVD)
ATEN Unizon ImportDeviceList Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of ATEN Unizon. Authentication is required to exploit this vulnerability. The specific flaw exists within the ImportDeviceList method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-28579.