CVE-2026-69225
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność ujawnienia informacji w Esri Portal for ArcGIS w wersjach 11.5 do 12.0 i wcześniejszych. Zdalny, nieuwierzytelniony atakujący może odzwierciedlić wrażliwe informacje w treści odpowiedzi HTTP.
Ocena ryzyka
Ryzyko wycieku poufnych danych organizacji poprzez odzwierciedlenie ich w odpowiedziach HTTP, co może prowadzić do naruszenia poufności.
Rekomendacja
Zaktualizuj Esri Portal for ArcGIS do najnowszej dostępnej wersji, która zawiera poprawkę tej podatności.
Inne podatności w Esri Portal for ArcGIS
Zobacz wszystkie- CVE-2026-13019Krytyczne
Esri Portal for ArcGIS w wersjach 12.1 i starszych na Windows, Linux i Kubernetes posiada podatność braku uwierzytelniania dla krytycznej funkcji, umożliwiającą zdalnemu, nieuwierzytelnionemu atakującemu dostęp do niezabezpieczonego API.
- CVE-2026-33519Krytyczne
W Esri Portal for ArcGIS w wersjach 11.4, 11.5 i 12.0 na systemach Windows, Linux oraz Kubernetes występuje luka związana z nieprawidłową autoryzacją, która nie sprawdza poprawnie uprawnień przypisanych do poświadczeń dewelopera.
- CVE-2026-33518Krytyczne
W Esri Portal for ArcGIS 11.5 na systemy Windows i Linux występuje podatność związana z nieprawidłowym przypisaniem uprawnień, która pozwala użytkownikom z wysokimi uprawnieniami na tworzenie poświadczeń dewelopera, co może skutkować przyznaniem większych uprawnień niż oczekiwano.
- CVE-2026-50096Średnie
W Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych występuje podatność na odbity cross-site scripting, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na utworzenie spreparowanego linku, którego kliknięcie może wykonać dowolny kod JavaScript w przeglądarce ofiary. Poprawka jest dostępna dla wersji 12.1, 12.0, 11.5, 11.3 i 11.1.
- CVE-2026-33520Średnie
W Esri Portal for ArcGIS w wersjach 12.1 i starszych występuje podatność typu reflected cross-site scripting (XSS). Zdalny, nieuwierzytelniony atakujący może utworzyć spreparowany link, którego kliknięcie może wykonać dowolny kod JavaScript w przeglądarce ofiary.
- CVE-2026-69238Niskie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z wysokimi uprawnieniami na wstawienie dowolnego kodu HTML do aplikacji Portal for ArcGIS Home. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.
- CVE-2026-69237Niskie
W Esri Portal for ArcGIS w wersjach 11.3 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z uprawnieniami administracyjnymi na wstawienie dowolnego kodu HTML do API administracyjnego. Użytkownicy ArcGIS Enterprise 11.1 i 11.3 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.
- CVE-2026-69236Średnie
W Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3, 11.5, 12.0 lub 12.1 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego i zastosować poprawkę.
- CVE-2026-69235Średnie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny kod w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.
- CVE-2026-69234Średnie
W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje odzwierciedlona podatność na skryptowanie między witrynami (reflected XSS), która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na utworzenie spreparowanego linku, który po kliknięciu może potencjalnie wykonać dowolny kod JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego. Użytkownicy ArcGIS Web App Builder developer edition są proszeni o migrację do ArcGIS Experience Builder, ponieważ ArcGIS Web App Builder developer edition nie jest wspierany w momencie przypisania tego CVE.
Oryginalny opis (angielski, źródło NVD)
There is an information disclosure vulnerability in Esri Portal for ArcGIS versions 11.5 through 12.0 and earlier that may allow a remote, unauthenticated attacker to reflect sensitive information in a http response body.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS