جزئیات آسیب‌پذیری

CVE-2026-86091

ntop ntopng

ntopng before 6.7.260717 Missing Authorization on the Host Pool Bulk Delete Handler

CVSS 4.0

7.1بالا

شرح رسمی (انگلیسی)

ntopng before 6.7.260717 fails to check user privileges in the pools bulk-delete endpoint, allowing authenticated non-administrators to delete all host pools and member bindings. Attackers can issue POST requests to the delete pools endpoint to irreversibly destroy every host pool, removing traffic policy bindings and visibility restrictions that may bypass security policies.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
7.1بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N`
7.1بالا	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
ntop	ntopng	v < 6.7.260717	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/ntop/ntopng/commit/7d830f31af367745431c5d92e2e82fc432f6bdd8 patch
https://github.com/ntop/ntopng product
https://github.com/ntop/ntopng/blob/f41cc1beff90e40e12bbc2cc135bdbf649ec559f/scripts/lua/rest/v2/delete/pools.lua technical-description
https://github.com/ntop/ntopng/blob/f41cc1beff90e40e12bbc2cc135bdbf649ec559f/scripts/lua/modules/pools/pools_rest_utils.lua technical-description
https://www.vulncheck.com/advisories/ntopng-before-6.7.260717-missing-authorization-on-the-host-pool-bulk-delete-handler third-party-advisory
https://github.com/ntop/ntopng/security/advisories/GHSA-m22w-f647-vx88 vendor-advisory

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۶/۱۴
آخرین به‌روزرسانی: ۱۴۰۵/۰۶/۱۷
وضعیت: منتشرشده
صادرکننده (CNA): VulnCheck

پیش‌بینی بهره‌برداری (EPSS)

۰٫۵۱٪

احتمال بهره‌برداری در ۳۰ روز

۴۴٫۱٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: اثبات مفهوم
اثر فنی: جزئی

ضعف‌ها (CWE)

CWE-862
Missing Authorization