Zohocorp - CVE-2026-18199
Date de publication :
Il s’agit d’une vulnérabilité dans le traitement côté serveur de données saisies dans Password Manager Pro et PAM360.
ManageEngine Password Manager Pro et PAM360 sont des solutions de gestion des mots de passe et des accès privilégiés, qui stockent et contrôlent l’accès aux identifiants, aux clés SSH et aux certificats.
Les caractères spéciaux ne sont pas correctement neutralisés avant leur exécution par une commande du système d’exploitation. L’éditeur a corrigé le défaut en ajoutant une validation et un échappement côté serveur. Il ne précise ni le module ni le paramètre concernés. L’attaquant doit disposer d’un compte authentifié. Un compte à faibles privilèges suffit d’après les notes de version de Password Manager Pro. L’attaque s’effectue à distance par le réseau. Aucune interaction d’un utilisateur n’est nécessaire.
Elle permet à un attaquant authentifié d’exécuter des commandes arbitraires du système d’exploitation sur le serveur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-78 : Improper Neutralization of Special Elements used in an OS Command
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Password Manager Pro versions 13235 et antérieures
- PAM360 versions 8600 et antérieures
Solutions ou recommandations
• PAM360 versions 8601 et supérieures