CVE-2026-108141
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik z rolą Restore Operator, który kontroluje zawartość kopii zapasowej udziału NAS, może zapisać pliki pod kontrolą atakującego w dowolnej ścieżce na serwerze backupu poprzez względne przejście ścieżki (relative path traversal).
Ocena ryzyka
Może to pozwolić na nadpisanie lub umieszczenie złośliwych plików w dowolnym miejscu serwera backupu, co grozi eskalacją uprawnień lub kompromitacją systemu.
Rekomendacja
Ogranicz rolę Restore Operator do zaufanych osób, weryfikuj zawartość przywracanych kopii oraz wdróż poprawkę producenta eliminującą path traversal.
Inne podatności w Veeam Backup & Replication
Zobacz wszystkie- CVE-2026-21672Wysokie
Podatność umożliwiająca lokalne podniesienie uprawnień na serwerach Veeam Backup & Replication działających na systemie Windows.
- CVE-2025-64393Krytyczne
Podatność w Veeam Backup & Replication pozwala użytkownikowi z rolą Backup Viewer na wykonanie dowolnego kodu jako SYSTEM na serwerze kopii zapasowych.
- CVE-2026-21671Krytyczne
Podatność umożliwia uwierzytelnionemu użytkownikowi z rolą Administratora Kopii Zapasowej wykonanie zdalnego kodu (RCE) w środowiskach wysokiej dostępności (HA) aplikacji Veeam Backup & Replication.
- CVE-2025-48983Krytyczne
Podatność w usłudze Mount w Veeam Backup & Replication umożliwia zdalne wykonanie kodu (RCE) na hostach infrastruktury kopii zapasowych przez uwierzytelnionego użytkownika domeny.
- CVE-2024-40711KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych z złośliwym ładunkiem może pozwolić nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE).
- CVE-2023-27532WysokieAktywnie exploitowane
Podatność w komponencie Veeam Backup & Replication pozwala na uzyskanie zaszyfrowanych poświadczeń przechowywanych w bazie danych konfiguracji. Może to prowadzić do uzyskania dostępu do hostów infrastruktury backupowej.
- CVE-2022-26501KrytyczneAktywnie exploitowane
Veeam Backup & Replication w wersjach 10.x i 11.x zawiera błąd nieprawidłowej kontroli dostępu (problem 1 z 2).
- CVE-2022-26500WysokieAktywnie exploitowane
Niewłaściwe ograniczenie nazw ścieżek w Veeam Backup & Replication 9.5U3, 9.5U4, 10.x i 11.x. Uwierzytelniony zdalny użytkownik może uzyskać dostęp do wewnętrznych funkcji API i przesłać oraz wykonać dowolny kod.
- CVE-2026-108140Średnie
Uwierzytelniony użytkownik z rolą Restore Operator, który kontroluje zawartość kopii zapasowej udziału NAS, może zapisać pliki pod kontrolą atakującego w dowolnej ścieżce na serwerze backupu poprzez względne przejście ścieżki (relative path traversal).
- CVE-2026-93026Średnie
Podatność w Veeam Backup & Replication pozwala użytkownikowi z rolą Backup Viewer na modyfikację głównego klucza Enterprise Manager oraz przechowywanych poświadczeń aktualizacji antywirusowych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability allowing an authenticated user with the Restore Operator role, who also controls the contents of a backed-up NAS share, to write attacker-controlled files to an arbitrary path on the backup server through relative path traversal.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS