CVE-2026-113610mediumCWE-639

CVE-2026-113610: falha de média gravidade em vatesfr xen-orchestra

Xen Orchestra before 6.9.0 Authorization Bypass via user.set API

Publicada em

Seguir esta CVE+ Monitorar xen-orchestra

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.4%
Xen Orchestra before 6.9.0 contains an authorization bypass vulnerability in the xo-server user.set API method that allows low-privileged authenticated users to modify other users' preferences by supplying an arbitrary target user id. Attackers can delete the preferences.otp TOTP secret to disable two-factor authentication, corrupt it to block logins, or overwrite stored xsCredentials and sshKeys.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
Produtos afetados
vatesfr · xen-orchestra
CVEs relacionadas — vatesfr xen-orchestra

No mesmo produto, das mais perigosas para as menos.

CVE-2026-110111HIGHXen Orchestra before 6.9.0 Privilege Escalation via Prototype Pollution in vm.importFromEsxiEPSS 0.6%