CVE-2026-69227
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Luka w Portal for ArcGIS umożliwia nieuwierzytelniony dostęp do niektórych endpointów Portal Administrator API w określonych warunkach. Może to pozwolić atakującemu na dostęp do funkcji administracyjnych, które powinny wymagać uwierzytelnienia.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji administracyjnych portalu bez logowania, co może prowadzić do nieautoryzowanych zmian konfiguracji i naruszenia bezpieczeństwa środowiska GIS.
Rekomendacja
Należy zastosować aktualizacje bezpieczeństwa dla Portal for ArcGIS oraz ograniczyć dostęp sieciowy do endpointów Portal Administrator API. Zaleca się weryfikację, czy funkcje administracyjne są odpowiednio chronione.
Inne podatności w Portal for ArcGIS
Zobacz wszystkie- CVE-2026-69226Średnie
Błąd w Portal for ArcGIS pozwala nieuwierzytelnionym użytkownikom tworzyć nowe konta przez punkt końcowy udostępniania, nawet gdy samodzielna rejestracja kont jest wyłączona (disableSignup=true). Atakujący może obejść zamierzone ograniczenie, manipulując procesem rejestracji, co skutkuje nieautoryzowanym utworzeniem konta.
- CVE-2026-10759Średnie
Luka w Portal for ArcGIS może pozwolić na wstrzyknięcie LDAP poprzez funkcjonalność administracyjną, która konstruuje zapytania wyszukiwania Active Directory lub LDAP bez wystarczającej neutralizacji danych wejściowych. Uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe, które modyfikują zamierzone zapytanie LDAP i powodują nieoczekiwane operacje w katalogu.
Oryginalny opis (angielski, źródło NVD)
A flaw in Portal for ArcGIS allows unauthenticated access to certain Portal Administrator API endpoints under specific conditions. This could enable an attacker to access administrative functionality that should require authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS