CVE-2026-120461
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Jpom allant jusqu'à la 2.11.12 inclusive sont concernées. Ce logiciel est utilisé pour gérer et exécuter des commandes sur des serveurs distants via SSH. La faille se situe dans le point de terminaison des commandes groupées (batch command endpoint), qui ne vérifie pas si le modèle de commande ou le nœud SSH demandé appartient réellement à l'espace de travail actuel de l'utilisateur.
Un attaquant disposant d'un compte avec des privilèges limités et des permissions d'exécution de commandes basiques peut exécuter des commandes arbitraires sur des hôtes SSH appartenant à d'autres espaces de travail. Cela lui permet de compromettre la confidentialité, l'intégrité et la disponibilité de ces serveurs distants en utilisant les identifiants stockés. L'attaque est facile à exécuter via le réseau et nécessite seulement un compte authentifié standard, sans aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Jpom through 2.11.12 contains a cross-workspace authorization bypass in POST /node/ssh_command/batch that resolves command templates and SSH nodes by ID without workspace filtering. Authenticated users with SSH command execute permission in one workspace can supply foreign template and node IDs to run commands on other workspaces' SSH hosts using their stored credentials.