CVE-2026-28323

SolarWinds Web Help Desk — pominięcie uwierzytelnienia SAML 2.0

CVSS 9.8v3.1pub. 2026-07-30upd. 2026-08-17

SolarWinds Web Help Desk zawiera krytyczną podatność umożliwiającą obejście mechanizmu uwierzytelnienia SAML 2.0 (authentication bypass). Luka pozwala nieuwierzytelnionemu atakującemu na uzyskanie nieautoryzowanego dostępu do systemu bez znajomości danych logowania.

▸ Pokaż oryginał (EN)

SolarWinds Web Help Desk is found to be affected by a SAML authentication bypass vulnerability. This requires the SAML 2.0 authentication method to be enabled.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-287 (Improper Authentication) dotyczy błędnej implementacji weryfikacji tożsamości użytkownika w procesie logowania opartym na protokole SAML 2.0. Atakujący może spreparować odpowiednie żądanie uwierzytelnienia SAML w sposób, który aplikacja niepoprawnie uzna za prawidłowe potwierdzenie tożsamości, pomijając tym samym faktyczną weryfikację. Podatność jest aktywna wyłącznie wówczas, gdy metoda uwierzytelnienia SAML 2.0 jest włączona w konfiguracji systemu.

Skutki

Skuteczne wykorzystanie podatności pozwala nieuwierzytelnionemu zdalnie atakującemu uzyskać pełny dostęp do systemu SolarWinds Web Help Desk, potencjalnie przejmując kontrolę nad danymi, konfiguracją oraz informacjami zgłoszeń serwisowych przechowywanymi w systemie.

Mitygacja

Należy zaktualizować SolarWinds Web Help Desk do wersji 2026.2.1 lub nowszej zgodnie z informacjami w referencjach producenta. Do czasu wdrożenia patcha zaleca się wyłączenie metody uwierzytelnienia SAML 2.0 w konfiguracji systemu, jeśli jest to operacyjnie możliwe.

Kogo dotyczy

SolarWinds Web Help Desk z włączoną metodą uwierzytelnienia SAML 2.0; konkretne wersje produktu wskazane są w referencjach producenta (release notes wersji WHD 2026.2.1)

Uwagi

Podatność wymaga włączonej konfiguracji SAML 2.0 — systemy korzystające wyłącznie z innych metod uwierzytelnienia nie są narażone. Producent opublikował szczegółowe wytyczne dotyczące bezpiecznej konfiguracji pod adresem wskazanym w referencjach.