CVE-2026-77690
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Wersje ZohoCorp ManageEngine Key Manager Plus przed 7151 były podatne na wstrzyknięcie poleceń, które pozwalało uwierzytelnionym użytkownikom z uprawnieniami do wdrażania certyfikatów wykonywać dowolne polecenia poprzez specjalnie spreparowane dane wejściowe podczas konfigurowania celu wdrożenia.
Ocena ryzyka
Użytkownik z uprawnieniami do wdrażania certyfikatów może wykonać dowolne polecenia w systemie, co może prowadzić do przejęcia serwera i dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj ManageEngine Key Manager Plus do wersji 7151 lub nowszej oraz ogranicz uprawnienia do wdrażania certyfikatów do niezbędnego minimum.
Inne podatności w ManageEngine Key Manager Plus
Zobacz wszystkie- CVE-2026-77779Wysokie
Wersje ManageEngine Key Manager Plus przed 7151 były podatne na niewłaściwą kontrolę dostępu, która pozwalała uwierzytelnionym użytkownikom o niskich uprawnieniach eksportować klucze poza ich autoryzowanym zakresem.
- CVE-2026-77778Wysokie
ZohoCorp ManageEngine Key Manager Plus w wersjach do 7150 pozwala uwierzytelnionym użytkownikom eksportować certyfikaty należące do innych użytkowników do własnych zarejestrowanych sejfów kluczy.
- CVE-2026-77777Wysokie
ManageEngine Key Manager Plus w wersjach przed 7151 jest podatny na niewłaściwą kontrolę dostępu, która pozwala uwierzytelnionym użytkownikom modyfikować dane uwierzytelniające wdrożenia certyfikatów ACME należące do innego użytkownika.
- CVE-2026-77691Wysokie
ZohoCorp ManageEngine Key Manager Plus w wersjach przed 7151 pozwala uwierzytelnionym użytkownikom wprowadzać złośliwe dane wejściowe podczas konfiguracji Microsoft CA.
- CVE-2026-77800Wysokie
ManageEngine Key Manager Plus w wersjach przed 7151 jest podatny na obejście uwierzytelniania SAML, które pozwala atakującym zalogować się przy użyciu asercji SAML przeznaczonych dla innego dostawcy usług.
- CVE-2026-77799Wysokie
ManageEngine Key Manager Plus w wersjach przed 7150 jest podatny na obejście uwierzytelniania dwuskładnikowego, które pozwala atakującym z ważnymi poświadczeniami zalogować się bez kodu weryfikacyjnego.
Oryginalny opis (angielski, źródło NVD)
ZohoCorp ManageEngine Key Manager Plus versions before 7151 were vulnerable to a Command Injection vulnerability that allowed authenticated users with certificate deployment privileges to execute arbitrary commands through specially crafted input when configuring a deployment target.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS