CVE-2026-33519

Nieprawidłowa autoryzacja w Esri Portal for ArcGIS — obejście uprawnień

CVSS 9.8v3.1pub. 2026-04-21upd. 2026-05-18

Podatność nieprawidłowej autoryzacji w Esri Portal for ArcGIS 11.4, 11.5 i 12.0 umożliwia atakującemu obejście mechanizmu weryfikacji uprawnień przypisanych do poświadczeń deweloperskich. Ze względu na brak wymagań co do uwierzytelnienia i interakcji użytkownika, podatność jest szczególnie niebezpieczna w środowiskach eksponowanych na internet.

▸ Pokaż oryginał (EN)

An incorrect authorization vulnerability exists in Esri Portal for ArcGIS 11.4, 11.5 and 12.0 on Windows, Linux and Kubernetes that did not correctly check permissions assigned to developer credentials.

🤖 Analiza AI

Jak działa

Portal for ArcGIS nieprawidłowo weryfikuje uprawnienia przypisane do poświadczeń deweloperskich (developer credentials), co oznacza, że kontrola dostępu nie jest egzekwowana zgodnie z zamierzonym modelem uprawnień. Zdalny, nieuwierzytelniony atakujący może skorzystać z błędnie skonfigurowanego mechanizmu autoryzacji, aby uzyskać dostęp do zasobów lub operacji, do których nie powinien mieć uprawnień. Podatność dotyczy instalacji na platformach Windows, Linux oraz Kubernetes.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych, modyfikować zasoby portalu lub zakłócać jego dostępność, co odpowiada pełnemu naruszeniu poufności, integralności i dostępności systemu (CVSS C:H/I:H/A:H).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawkach zawiera biuletyn bezpieczeństwa Esri z kwietnia 2026 roku dostępny pod adresem: https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/april2026_security_bulletin