Уязвимость LDAP-инъекции в Esri Portal for ArcGIS (CVE-2026-10759)

В компоненте Esri Portal for ArcGIS выявлена уязвимость, получившая идентификатор CVE-2026-10759. Она связана с недостаточной нейтрализацией входных данных при построении поисковых запросов к Active Directory или LDAP в административном функционале продукта.

Подробности

Уязвимость затрагивает Esri Portal for ArcGIS. Согласно описанию, в административных функциях портала поисковые запросы к Active Directory или LDAP формируются без достаточной нейтрализации пользовательского ввода. Аутентифицированный администратор может передать специально сформированные данные, которые изменят изначально задуманный LDAP-запрос и приведут к непредусмотренным операциям с каталогом.

Тип уязвимости — LDAP-инъекция (LDAP injection). Уровень опасности по CVSS составляет 5.5, что соответствует средней критичности. Важно отметить, что для эксплуатации требуются права администратора, поэтому вектор атаки предполагает наличие уже действующей учётной записи с повышенными привилегиями, а не анонимный доступ извне.

Что делать

Рекомендуется проверить наличие обновлений для Esri Portal for ArcGIS и установить актуальную версию, выпущенную производителем для устранения BUG-000171040. Перед обновлением следует ознакомиться с официальными рекомендациями Esri и протестировать изменения на тестовом контуре.

В качестве дополнительных мер защиты стоит ограничить число учётных записей с административными правами, внимательно проверять и по возможности минимизировать привилегии, связанные с доступом к каталогу LDAP/Active Directory, а также включить журналирование административных действий и отслеживать подозрительную активность в запросах к каталогу. Целесообразно провести ревизию интеграции портала с LDAP и убедиться, что сервисная учётная запись обладает минимально необходимыми правами.

Уязвимость CVE-2026-10759 относится к классу LDAP-инъекций и требует наличия административного доступа, что несколько снижает риск массовой эксплуатации. Тем не менее организациям, использующим Portal for ArcGIS совместно с Active Directory или другим LDAP-каталогом, следует оперативно установить обновления производителя и усилить контроль за административными учётными записями.

Источник: CVE Project (cvelistV5)