CVE-2026-8043
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
W Ivanti Xtraction przed wersją 2026.2 występuje zewnętrzna kontrola nazwy pliku, co pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt wrażliwych plików oraz zapis dowolnych plików HTML w katalogu webowym, co prowadzi do ujawnienia informacji oraz potencjalnych ataków po stronie klienta.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych danych oraz ataki, które mogą wykorzystać wprowadzone złośliwe skrypty HTML.
Rekomendacja
Zaleca się aktualizację Ivanti Xtraction do wersji 2026.2 lub nowszej oraz wdrożenie odpowiednich środków zabezpieczających, aby ograniczyć dostęp do wrażliwych plików.
Inne podatności w Ivanti Xtraction
Zobacz wszystkie- CVE-2026-106042Krytyczne
W Ivanti Xtraction przed wersją 2026.4 występuje podatność External Control of File Name or Path, która pozwala zdalnemu uwierzytelnionemu atakującemu przekierować żądania generowane przez aplikację do kontrolowanego przez siebie endpointu i uzyskać poświadczenia konektora EPMM przesyłane przez aplikację.
- CVE-2026-106047Wysokie
Podatność typu path traversal w funkcji eksportu szablonów w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu uwierzytelnionemu atakującemu na odczyt dowolnych plików.
- CVE-2026-106043Wysokie
Podatność braku uwierzytelniania dla funkcji krytycznej w Ivanti Xtraction przed wersją 2026.4 pozwala zdalnemu nieuwierzytelnionemu atakującemu na tworzenie i modyfikowanie zaufanych witryn.
- CVE-2026-106034Średnie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.4 pozwala uwierzytelnionemu zdalnemu atakującemu na tworzenie i modyfikowanie dowolnych katalogów w systemie plików hosta.
- CVE-2026-14903Wysokie
Podatność typu path traversal w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, uwierzytelnionemu atakującemu odczyt dowolnych plików poza katalogiem głównym serwera WWW.
- CVE-2026-14902Średnie
Podatność open redirect w Ivanti Xtraction przed wersją 2026.2.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przekierowanie użytkowników na dowolne zewnętrzne adresy URL.
Oryginalny opis (angielski, źródło NVD)
External control of a file name in Ivanti Xtraction before version 2026.2 allows a remote authenticated attacker to read sensitive files and write arbitrary HTML files to a web directory, leading to information disclosure and possible client-side attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS