CVE-2026-121653
CVSS 9.8 CRITICAL: sQL injection in the Core of Ivanti Endpoint Manager before version 2024 SU8 allows a remote unauthenticated attacker… EPSS 2% (81º percentile).
Vulnerabilità · 15 ore fa
Il 12 novembre NCSC-NL ha segnalato due vulnerabilità in Ivanti Endpoint Manager: una SQL injection non autenticata nella Core può consentire l'esecuzione di codice da remoto. Le falle interessano le versioni precedenti alla 2024 SU8; Ivanti ha pubblicato aggiornamenti correttivi per entrambe.
Nella Core, l'attaccante può inviare comandi SQL senza accedere prima al sistema: il server può così arrivare a eseguire codice. La seconda falla riguarda l'Agent: chi riesce a inserirsi tra l'Agent e il suo interlocutore può intercettare, leggere e modificare il traffico HTTP, perché informazioni sensibili viaggiano in chiaro.
NCSC-NL non riferisce sfruttamento. La prima falla può compromettere il sistema di gestione se la Core è raggiungibile; la seconda espone le comunicazioni a chi si trova nella posizione di rete necessaria. L'avviso non chiarisce quali sistemi a valle siano gestiti, quindi il raggio d'impatto oltre Endpoint Manager resta indeterminato.
CVSS 9.8 CRITICAL: sQL injection in the Core of Ivanti Endpoint Manager before version 2024 SU8 allows a remote unauthenticated attacker… EPSS 2% (81º percentile).
CVSS 6.8 MEDIUM: cleartext transmission of sensitive information in the Agent of Ivanti Endpoint Manager before version 2024 SU8… EPSS 0.4% (39º percentile).
5 fonti che coprono questa storia
Kwetsbaarheden verholpen in Ivanti Endpoint Manager
De eerste kwetsbaarheid (CVE-2026-121653) betreft een SQL-injectie in de Core van Ivanti Endpoint Manager-versies vóór 2024 SU8.
Citrix, Ivanti Patch Critical and High-Severity Vulnerabilities
Attackers could exploit the bugs to tamper with certificate entries, achieve remote code execution, and compromise hosts.
Múltiples vulnerabilidades en productos de Ivanti
Ivanti ha publicado 3 vulnerabilidades, 2 de severidad crítica y una media.
Ivanti November Security Update
Rilasciati gli aggiornamenti di sicurezza di novembre che risolvono 13 vulnerabilità, di cui due con gravità “critica” e una con gravità “alta”, in alcuni prodotti. Tali vulnerabilità potrebbero consentire a un attaccante remoto di eseguire codice arbitrario o di aggiungere ed eliminare arbitrariamente certificati attendibili sui sistemi interessati.
Ivanti is disclosing vulnerabilities in Ivanti User Workspace Manager, Ivanti Sentry, Ivanti Endpoint Manager Mobile, Ivanti Cloud Services Application and Ivanti Endpoint Manager.
Part of the PlainSec briefing for 2026-11-13