Уязвимость URL-редиректа в HPE OneView (CVE-2026-76720)

Исследователи безопасности сообщили об уязвимости в платформе управления ИТ-инфраструктурой HPE OneView. Проблема получила идентификатор CVE-2026-76720 и классифицируется как открытое перенаправление (URL Redirect).

Подробности

Уязвимость затрагивает продукт Hewlett Packard Enterprise HPE OneView. Согласно описанию, её можно эксплуатировать удалённо, вынуждая приложение перенаправлять пользователя на произвольный URL.

Тип уязвимости — CWE-601 (Open Redirect). Базовый балл CVSS составляет 4.3, что соответствует среднему уровню критичности. Конкретные версии HPE OneView, в которых присутствует проблема, в записи CVE не указаны.

Открытое перенаправление обычно используется в связке с фишингом: ссылка ведёт на легитимный домен доверенного сервиса, поэтому жертва с меньшей вероятностью заподозрит подвох, а затем браузер переадресует её на сайт злоумышленника. Для HPE OneView, который применяется для централизованного управления серверами, сетями и хранилищами, это создаёт риск компрометации учётных данных администраторов.

Что делать

Официальные рекомендации сводятся к следующему:

• отслеживать выпуск обновлений HPE OneView и установить исправленную версию, как только она появится;
• проверить бюллетени безопасности Hewlett Packard Enterprise, связанные с CVE-2026-76720, — там будут указаны уязвимые и исправленные версии;
• ограничить доступ к интерфейсу управления HPE OneView доверенными сегментами сети и не публиковать его в открытый интернет;
• обучать администраторов распознаванию фишинговых ссылок и внимательно проверять адреса переходов;
• использовать средства защиты, блокирующие переходы на подозрительные домены.

Специальных митигаций, кроме обновления и ограничения сетевого доступа, в записи CVE не приводится.

Итог: CVE-2026-76720 — уязвимость среднего уровня риска в HPE OneView, связанная с открытым перенаправлением. Прямой компрометации системы она не даёт, но может быть использована в фишинговых атаках против администраторов инфраструктуры. Рекомендуется своевременно устанавливать обновления вендора и держать интерфейс управления вне публичного доступа.

Источник: CVE Project (cvelistV5)