CVE-2026-33518

Błędne przypisanie uprawnień w Esri Portal for ArcGIS 11.5

CVSS 9.8v3.1pub. 2026-04-21upd. 2026-05-18

Podatność nieprawidłowego przypisania uprawnień w Esri Portal for ArcGIS 11.5 (Windows i Linux) umożliwia wysoko uprzywilejowanym użytkownikom tworzenie poświadczeń deweloperskich z większym zakresem uprawnień niż zamierzony. Podatność otrzymała ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

An incorrect privilege assignment vulnerability exists in Esri Portal for ArcGIS 11.5 in Windows and Linux that allows highly privileged users to create developer credentials that may grant more privileges than expected.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej logice przypisywania uprawnień podczas tworzenia tzw. developer credentials (poświadczeń deweloperskich) w portalu. Wysoko uprzywilejowany użytkownik może wygenerować takie poświadczenia, które w efekcie uzyskują szerszy zakres praw dostępu niż wynikałoby to z zamierzonej polityki systemu. Mechanizm kontroli uprawnień nie ogranicza właściwie zakresu uprawnień nadawanych nowo tworzonym poświadczeniom.

Skutki

Atakujący posiadający już wysoki poziom uprawnień może eskalować swoje możliwości poprzez utworzenie poświadczeń deweloperskich z nieoczekiwanie szerokim zakresem uprawnień, co może prowadzić do nieautoryzowanego dostępu do zasobów, naruszenia poufności, integralności oraz dostępności danych w portalu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje zawiera biuletyn bezpieczeństwa Esri z kwietnia 2026 roku dostępny pod adresem wskazanym w referencjach produktu.