CVE-2026-77779
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wersje ManageEngine Key Manager Plus przed 7151 były podatne na niewłaściwą kontrolę dostępu, która pozwalała uwierzytelnionym użytkownikom o niskich uprawnieniach eksportować klucze poza ich autoryzowanym zakresem.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może uzyskać dostęp do kluczy, do których nie powinien mieć dostępu, co może prowadzić do wycieku danych i naruszenia poufności.
Rekomendacja
Zaktualizuj ManageEngine Key Manager Plus do wersji 7151 lub nowszej oraz przejrzyj uprawnienia użytkowników i historię eksportu kluczy.
Inne podatności w ManageEngine Key Manager Plus
Zobacz wszystkie- CVE-2026-77690Wysokie
Wersje ZohoCorp ManageEngine Key Manager Plus przed 7151 były podatne na wstrzyknięcie poleceń, które pozwalało uwierzytelnionym użytkownikom z uprawnieniami do wdrażania certyfikatów wykonywać dowolne polecenia poprzez specjalnie spreparowane dane wejściowe podczas konfigurowania celu wdrożenia.
- CVE-2026-77778Wysokie
ZohoCorp ManageEngine Key Manager Plus w wersjach do 7150 pozwala uwierzytelnionym użytkownikom eksportować certyfikaty należące do innych użytkowników do własnych zarejestrowanych sejfów kluczy.
- CVE-2026-77777Wysokie
ManageEngine Key Manager Plus w wersjach przed 7151 jest podatny na niewłaściwą kontrolę dostępu, która pozwala uwierzytelnionym użytkownikom modyfikować dane uwierzytelniające wdrożenia certyfikatów ACME należące do innego użytkownika.
- CVE-2026-77691Wysokie
ZohoCorp ManageEngine Key Manager Plus w wersjach przed 7151 pozwala uwierzytelnionym użytkownikom wprowadzać złośliwe dane wejściowe podczas konfiguracji Microsoft CA.
- CVE-2026-77800Wysokie
ManageEngine Key Manager Plus w wersjach przed 7151 jest podatny na obejście uwierzytelniania SAML, które pozwala atakującym zalogować się przy użyciu asercji SAML przeznaczonych dla innego dostawcy usług.
- CVE-2026-77799Wysokie
ManageEngine Key Manager Plus w wersjach przed 7150 jest podatny na obejście uwierzytelniania dwuskładnikowego, które pozwala atakującym z ważnymi poświadczeniami zalogować się bez kodu weryfikacyjnego.
Oryginalny opis (angielski, źródło NVD)
ManageEngine Key Manager Plus versions before 7151 were vulnerable to an Improper Access Control vulnerability that allowed authenticated low-privilege users to export keys outside their authorized scope.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS