CVE-2026-28324
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
SolarWinds Observability Self-Hosted jest podatny na zdalne wykonanie kodu bez uwierzytelnienia z powodu niewystarczających kontroli integralności. Dotyczy to instalacji skonfigurowanych w sposób inny niż domyślny i niebezpieczny.
Ocena ryzyka
Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod w kontekście aplikacji, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Należy zweryfikować konfigurację instalacji, upewnić się, że nie używa się niebezpiecznych ustawień, oraz zastosować dostępne aktualizacje zabezpieczające od producenta.
Inne podatności w SolarWinds Observability Self-Hosted
Zobacz wszystkie- CVE-2026-28330Średnie
SolarWinds Observability Self-Hosted zawiera podatność typu stored XSS, która pozwala uwierzytelnionym atakującym wstrzyknąć złośliwą treść lub JavaScript, wyświetlaną lub wykonywaną w przeglądarkach innych uwierzytelnionych użytkowników odwiedzających dotknięte strony. Może to prowadzić do przejęcia sesji użytkowników.
- CVE-2026-28329Średnie
W SolarWinds Observability Self-Hosted wykryto podatność Server-Side Request Forgery (SSRF), która pozwala uwierzytelnionym atakującym zmusić serwer aplikacji do wysyłania żądań do celów kontrolowanych przez atakującego lub do zasobów wewnętrznych.
- CVE-2026-28328Wysokie
W SolarWinds Observability Self-Hosted wykryto wadliwy schemat autoryzacji, który może umożliwić użytkownikom o niskich uprawnieniach dostęp do informacji i ich modyfikację poza przydzielonymi uprawnieniami.
- CVE-2026-28325Wysokie
SolarWinds Observability Self-Hosted jest dotknięty podatnością na nieuwierzytelnione zdalne wykonanie kodu, wynikającą z deserializacji niezaufanych danych, gdy aplikacja jest skonfigurowana do korzystania z określonego trybu komunikacji.
- CVE-2025-40545Średnie
SolarWinds Observability Self-Hosted jest podatny na otwarte przekierowanie. URL nie jest prawidłowo sanityzowany, a atakujący może manipulować ciągiem znaków, aby przekierować użytkownika na złośliwą stronę. Złożoność ataku jest wysoka, a atak wymaga uwierzytelnienia.
- CVE-2025-26391Średnie
W SolarWinds Observability Self-Hosted występuje podatność typu XSS w polach URL tworzonych przez użytkownika w platformie SolarWinds. Wykorzystanie podatności wymaga uwierzytelnienia z konta o niskich uprawnieniach.
- CVE-2025-26392Średnie
SolarWinds Observability Self-Hosted jest podatny na iniekcję SQL, która może ujawnić wrażliwe dane przy użyciu konta o niskich uprawnieniach. Wymaga uwierzytelnienia z konta o niskich uprawnieniach.
Oryginalny opis (angielski, źródło NVD)
SolarWinds Observability Self-Hosted was found to be affected by an unauthenticated remote code execution vulnerability due to the insufficient integrity checks. Installations configured in a non-default and non-secure configuration are affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS