CVE-2026-11903
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W module Ad Hoc oprogramowania Progress MOVEit Transfer wykryto podatność na ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Podatność umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do przeglądarki ofiary.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji użytkownika, przejęcie konta, kradzież poufnych danych przesyłanych przez MOVEit Transfer oraz potencjalne rozprzestrzenienie ataku na innych użytkowników systemu.
Rekomendacja
Należy niezwłocznie zaktualizować MOVEit Transfer do wersji 2026.0.1, 2025.1.4 lub 2025.0.8 w zależności od używanej gałęzi. Przed aktualizacją zaleca się ograniczenie dostępu do modułu Ad Hoc tylko dla zaufanych użytkowników.
Inne podatności w Progress MOVEit Transfer
Zobacz wszystkie- CVE-2026-89077Wysokie
W module SFTP oprogramowania Progress MOVEit Transfer występuje błąd polegający na nieprawidłowej implementacji algorytmu uwierzytelniania. Podatność dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.
- CVE-2026-89076Wysokie
W module Custom Reports oprogramowania Progress MOVEit Transfer występuje podatność SQL injection wynikająca z nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89075Wysokie
W oprogramowaniu Progress MOVEit Transfer występuje podatność polegająca na niezabezpieczonym przechowywaniu informacji wrażliwych. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89074Wysokie
W oprogramowaniu Progress MOVEit Transfer występuje podatność związana z nieprawidłową obsługą kodowania Unicode. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89073Wysokie
W oprogramowaniu Progress MOVEit Transfer występuje podatność polegająca na niewystarczającym wygaszaniu sesji. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89072Wysokie
W module Client Certificates oprogramowania Progress MOVEit Transfer występuje podatność polegająca na nieprawidłowej autoryzacji. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89071Wysokie
W module LDAP oprogramowania Progress MOVEit Transfer występuje podatność LDAP injection wynikająca z nieprawidłowej neutralizacji znaków specjalnych w zapytaniach LDAP. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89070Wysokie
W module OIDC oprogramowania Progress MOVEit Transfer występuje podatność umożliwiająca obejście uwierzytelniania poprzez atak typu capture-replay. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89069Wysokie
W module Ad Hoc oprogramowania Progress MOVEit Transfer występuje podatność cross-site scripting (XSS) wynikająca z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
- CVE-2026-89068Wysokie
W module LDAP oprogramowania Progress MOVEit Transfer występuje podatność polegająca na pominięciu krytycznego kroku w procesie uwierzytelniania. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Progress MOVEit Transfer (Ad Hoc module). This issue affects MOVEit Transfer: from 2026.0.0 before 2026.0.1, from 2025.1.0 before 2025.1.4, from 2025.0.0 before 2025.0.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS