SnapCenter versions 4.7 prior to 4.7P2 and 4.8 prior to 4.8P1 are susceptible to a vulnerability which could allow a remote unauthenticated

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• netapp snapcenter4.7
• netapp snapcenter4.8

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (netapp). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a SnapCenter

  • 4.7 prior to 4.7P2 and 4.8 prior to 4.8P1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2025-26512CVE-2025-26512 Privilege Escalation Vulnerability in SnapCenter
  39Наблюдать
• CVE-2023-27313Privilege Escalation Vulnerability in SnapCenter
  35Наблюдать
• CVE-2023-27316Privilege Escalation Vulnerability in SnapCenter
  31Наблюдать
• CVE-2022-38732SnapCenter versions prior to 4.7 shipped without Content Security Policy (CSP) implemented which could allow certain types of attacks that o
  30Наблюдать
• CVE-2024-21993Information Disclosure Vulnerability in SnapCenter
  26Наблюдать
• CVE-2022-23234SnapCenter versions prior to 4.5 are susceptible to a vulnerability which could allow a local authenticated attacker to discover plaintext H
  22Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Функция, добавленная для разработки или поддержки, попадает в продуктивную среду без аутентификации. Нередко расчёт делается на то, что она «доступна только из внутренней сети».

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1// Добавлено для службы поддержки2app.post("/maintenance/reset", resetDevice);

1if (config.maintenanceEnabled) {2  app.post(3    "/maintenance/reset",4    requireSession, requireRole("admin"), resetDevice5  );6}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.