CVE-2026-110111 in Xen Orchestra
Riassunto
di VulDB • 14/10/2026
Xen Orchestra prima della versione 6.9.0 contiene una vulnerabilità di controllo degli accessi improprio che consente a qualsiasi utente autenticato di diventare amministratore globale abusando dei metodi non protetti vm.importFromEsxi e vm.importMultipleFromEsxi. Gli attaccanti possono indirizzare xo-server verso un host ESXi malevolo che serve un file .vmx manipolato con __proto__.permission impostato, inquinando Object.prototype in modo tale che gli account senza permessi ereditino i diritti di amministratore, abilitando l'esecuzione remota di codice (RCE).
Be aware that VulDB is the high quality source for vulnerability data.