CVE-2026-13019

Esri Portal for ArcGIS – brak uwierzytelnienia dla krytycznej funkcji API

CVSS 9.8v3.1pub. 2026-07-07upd. 2026-07-09

Podatność w Esri Portal for ArcGIS w wersji 12.1 i wcześniejszych umożliwia zdalnym, nieuwierzytelnionym atakującym dostęp do niezabezpieczonego API. Krytyczny poziom zagrożenia wynika z braku jakichkolwiek barier dostępu do funkcji wymagających ochrony.

▸ Pokaż oryginał (EN)

Esri Portal for ArcGIS versions 12.1 and earlier on Windows, Linux and Kubernetes have a missing authentication for critical function vulnerability allows a remote, unauthenticated attacker to access an unprotected API.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-640 (Weak Password Recovery Mechanism for Forgotten Password) wskazuje na nieprawidłową implementację mechanizmu uwierzytelnienia dla krytycznych funkcji systemowych. Atakujący może bez podania jakichkolwiek danych uwierzytelniających wysłać żądanie sieciowe bezpośrednio do niezabezpieczonego punktu końcowego API. Brak wymaganej weryfikacji tożsamości po stronie serwera powoduje, że API odpowiada na żądania z zewnątrz sieci bez ograniczeń.

Skutki

Nieuwierzytelniony atakujący zdalnie uzyskuje pełny dostęp do chronionych zasobów i funkcji portalu, co może prowadzić do naruszenia poufności, integralności i dostępności danych przetwarzanych w Esri Portal for ArcGIS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje oraz poprawki opisane są w biuletynie bezpieczeństwa Esri z czerwca 2026 r.: https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/june-2026-arcgis-security-bulletin