Aktywnie wykorzystywana w atakach
N-able N-central Authentication Bypass Using an Alternate Path or Channel Vulnerability
N-able - N-central · Figuruje w katalogu CISA KEV od 2026-08-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-18577
WysokieCVSS 8.1KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Niekompletna łatka dla CVE-2026-18556 umożliwia ominięcie uwierzytelniania i przejęcie konta w N-central w wersjach do 2026.3.1.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do kont użytkowników, co prowadzi do naruszenia poufności i integralności danych zarządzanych przez N-central.
Rekomendacja
Należy natychmiast zaktualizować N-central do wersji nowszej niż 2026.3.1, która zawiera pełną poprawkę dla tej podatności.
Inne podatności w N-central
Zobacz wszystkie- CVE-2026-86218KrytyczneAktywnie exploitowane
Produkt N-central jest podatny na zdalne wykonanie kodu przed uwierzytelnieniem. Problem dotyczy wersji przed 2026.3.1.14.
- CVE-2025-9316Średnie
N-central w wersji przed 2025.4 może generować identyfikatory sesji (sessionIDs) dla nieuwierzytelnionych użytkowników. Może to umożliwić nieautoryzowany dostęp do systemu.
- CVE-2025-11700Wysokie
Wersje N-central starsze niż 2025.4 są podatne na wielokrotne ataki XML External Entity (XXE), które mogą prowadzić do ujawnienia informacji. Podatność wynika z nieprawidłowego przetwarzania zewnętrznych encji XML.
- CVE-2025-11366Krytyczne
N-central w wersjach przed 2025.4 jest podatny na obejście uwierzytelniania poprzez path traversal. Atakujący może ominąć mechanizmy uwierzytelniania.
- CVE-2026-86206Średnie
Podatność w filtrze kontroli dostępu do wewnętrznych API N-central umożliwia nieautoryzowany dostęp do wewnętrznych API. Problem naprawiono w N-central 2026.3 HF3 i 2026.4.
- CVE-2026-86207Wysokie
Podatność w N-central przed wersją 2026.3 HF 3 prowadzi do obejścia uwierzytelniania w wewnętrznych API.
Oryginalny opis (angielski, źródło NVD)
An incomplete patch for CVE-2026-18556 allows for authentication bypass and account takeover in N-central Versions through 2026.3.1
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS