CVE-2026-7312

Usługi web w Progress Sitefinity przechowują lub przesyłają dane uwierzytelniające (credentials) w sposób niewystarczająco chroniony (Insufficiently Protected Credentials). Atakujący bez żadnego uwierzytelnienia, działając zdalnie przez sieć, jest w stanie odczytać te dane w postaci plain-text. Skuteczna eksploatacja wymaga aktywnej integracji z usługą Sitefinity Insight oraz niestandardowej (non-default) konfiguracji witryny.

Atakujący może przejąć plain-text credentials służące do komunikacji z Sitefinity Insight, co może umożliwić nieuprawniony dostęp do powiązanych usług i danych przetwarzanych przez tę integrację.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w komunikacie bezpieczeństwa Progress Sitefinity (maj 2026). Zaleca się pilną aktualizację do wersji niewymienionych w zakresach podatnych oraz weryfikację konfiguracji integracji z Sitefinity Insight.

Progress Sitefinity w wersjach: 14.0.7700–14.4.8152, 15.0.8200–15.0.8234, 15.1.8300–15.1.8335, 15.2.8400–15.2.8441, 15.3.8500–15.3.8531 oraz 15.4.8600–15.4.8630

Skuteczna eksploatacja wymaga spełnienia dwóch warunków: aktywnej integracji z usługą Sitefinity Insight oraz niestandardowej konfiguracji witryny (non-default site configuration). Instalacje bez tej integracji lub z domyślną konfiguracją nie są bezpośrednio narażone.