CVE-2026-113610
Orta
Açıklama
6.9.0 öncesindeki Xen Orchestra, xo-server user.set API yönteminde, düşük yetkili kimliği doğrulanmış kullanıcıların rastgele bir hedef kullanıcı kimliği sağlayarak diğer kullanıcıların tercihlerini değiştirmesine izin veren bir kimlik doğrulama atlatma zafiyeti içermektedir. Saldırganlar, iki faktörlü kimlik doğrulamayı devre dışı bırakmak için preferences.otp TOTP sırrını silebilir, girişleri engellemek için bu sırrı bozabilir veya kayıtlı xsCredentials ve sshKeys verilerinin üzerine yazabilirler.
ÖnemOrta
CVSS5.4
İstismar olasılığı—
ÜrünVatesfr Xen-orchestra
Yayın20 Eki 2026
İlk görülme20 Eki 2026
Nasıl düzeltilir
Güncelleyin
- vatesfr xen-orchestra6.9.0 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vatesfr xen-orchestra | v < 6.9.0 | 6.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.