CVE-2026-20262
Orta CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 6.5
- EPSS
- 28.2%
- CWE
- CWE-22
- KEV Durumu
- Evet
Yayım tarihi: 15 Haziran 2026 · CISA KEV son iyileştirme tarihi: 29 Haziran 2026
Etkilenen: cisco catalyst_sd-wan_manager
Cisco Catalyst SD-WAN Manager'ın, daha önce SD-WAN vManage olarak bilinen, web arayüzündeki bir güvenlik açığı, kimliği doğrulanmış, uzaktan bir saldırganın etkilenen bir sistemin dosya sistemine bir dosya oluşturmasına veya herhangi bir dosyayı üzerine yazmasına izin verebilir. Bu güvenlik açığı, etkilenen yazılımda bir dosya yükleme işlemi sırasında kullanıcı tarafından sağlanan girdilerin düzgün şekilde doğrulanmaması nedeniyle oluşur. Bir saldırgan, bu güvenlik açığını, etkilenen sistemin etkilenen API uç noktasına özel olarak hazırlanmış bir HTTP isteği göndererek sömürebilir. Başarılı bir sömürme, saldırgana alttaki işletim sistemine ait herhangi bir dosyayı oluşturma veya üzerine yazma izni verebilir. Bu dosya daha sonra kök haklarına yükselmek için kullanılabilir. Bu güvenlik açığını sömürebilmek için saldırganın, en azından düşük ayrıcalıklı, tek görevli bir kullanıcı hesabıyla geçerli kimlik bilgileri olması gerekir.
Orijinal açıklama (İngilizce)
A vulnerability in the web UI of Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, could allow an authenticated, remote attacker to create a file or overwrite any file on the filesystem of an affected system. This vulnerability exists because the affected software does not properly validate user-supplied input during a file upload process. An attacker could exploit this vulnerability by sending a crafted HTTP request to an affected API endpoint of the affected system. A successful exploit could allow the attacker to create or overwrite any file on the underlying operating system. This file could later be used to elevate to root. To exploit this vulnerability, the attacker must have valid credentials with at least a lower-privileged, single-task user account.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.