Уязвимость обхода пути в Mitel MiVoice Office 400 (CVE-2026-104806)
В веб-портале управления Mitel MiVoice Office 400 обнаружена уязвимость обхода пути (path traversal) в разделе системных журналов. Эксплуатация позволяет получить доступ к файлам за пределами каталога журналов, включая потенциально конфиденциальные системные и прикладные файлы. Уязвимость имеет средний уровень критичности (CVSS 5.5).
Подробности
Уязвимость CVE-2026-104806 относится к классу path traversal (обход пути). Приложение не выполняет должную проверку путей к файлам, передаваемых пользователем. Это позволяет злоумышленнику манипулировать запрашиваемым путём и выходить за пределы структуры каталогов, к которой он должен иметь доступ. Конкретный недостаток кроется в функциональности Maintenance → System Logs веб-портала управления Mitel MiVoice Office 400. Из-за отсутствия корректной валидации пользовательских путей атакующий может запрашивать файлы вне заданного каталога системных журналов. Успешная эксплуатация даёт возможность доступа и загрузки файлов, расположенных за пределами предназначенного для журналов каталога. Среди них могут оказаться потенциально конфиденциальные системные и прикладные файлы, что создаёт риск раскрытия информации. Уязвимости присвоен базовый балл CVSS 5.5, что соответствует среднему уровню критичности.Что делать
Организациям, использующим Mitel MiVoice Office 400, рекомендуется: - Проверить наличие обновлений безопасности от производителя Mitel и установить их в приоритетном порядке. Официальные патчи, устраняющие уязвимость, следует применять сразу после их публикации. - Ограничить сетевой доступ к веб-порталу управления (TCP-порт 443). Портал не должен быть доступен из интернета; доступ к нему стоит предоставлять только доверенным административным сетям и сегментам. - Применить принцип наименьших привилегий к учётным записям, имеющим доступ к интерфейсу управления, и включить дополнительный контроль доступа. - В качестве временной митигации — усилить мониторинг обращений к разделу Maintenance → System Logs и логировать подозрительную активность, связанную с манипуляцией путями. Если официальное обновление недоступно, следует рассмотреть изоляцию устройства на сетевом уровне до момента выпуска исправления. Итог: CVE-2026-104806 — уязвимость среднего уровня, позволяющая раскрыть файлы за пределами каталога журналов через веб-портал Mitel MiVoice Office 400. Ключевые меры защиты — своевременное обновление прошивки и ограничение сетевого доступа к интерфейсу управления.Источник: CVE Project (cvelistV5)