CVE-2026-110111

WysokieCVSS 7.5

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.62%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

Xen Orchestra przed wersją 6.9.0 zawiera podatność niewłaściwej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi zostać globalnym administratorem poprzez nadużycie niechronionych metod vm.importFromEsxi i vm.importMultipleFromEsxi. Atakujący mogą wskazać xo-server na złośliwy host ESXi serwujący spreparowany plik .vmx z ustawionym __proto__.permission, zanieczyszczając Object.prototype, tak aby konta bez uprawnień dziedziczyły prawa administratora i umożliwiając zdalne wykonanie kodu.

Ocena ryzyka

Ryzyko polega na tym, że każdy uwierzytelniony użytkownik może uzyskać pełne uprawnienia administratora, co może prowadzić do całkowitego przejęcia systemu, naruszenia danych i zdalnego wykonania kodu.

Rekomendacja

Zaleca się natychmiastową aktualizację Xen Orchestra do wersji 6.9.0 lub nowszej oraz zabezpieczenie metod importu ESXi odpowiednią kontrolą dostępu.

Inne podatności w Xen Orchestra

CVE-2026-113610Średnie
Xen Orchestra przed 6.9.0 zawiera podatność obejścia autoryzacji w metodzie API xo-server user.set, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami modyfikować preferencje innych użytkowników poprzez podanie dowolnego identyfikatora użytkownika docelowego. Atakujący mogą usunąć sekret TOTP preferences.otp, aby wyłączyć uwierzytelnianie dwuskładnikowe, uszkodzić go, aby zablokować logowanie, lub nadpisać przechowywane xsCredentials i sshKeys.

Oryginalny opis (angielski, źródło NVD)

Xen Orchestra before 6.9.0 contains an improper access control vulnerability that allows any authenticated user to become global administrator by abusing the unprotected vm.importFromEsxi and vm.importMultipleFromEsxi methods. Attackers can point xo-server at a malicious ESXi host serving a crafted .vmx file with __proto__.permission set, polluting Object.prototype so permission-less accounts inherit admin rights and enabling remote code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS