प्लेटफ़ॉर्म
manageengine
घटक
manageengine-exchange-reporter-plus
में ठीक किया गया
5802
ManageEngine Exchange Reporter Plus के संस्करण 0 से 5802 तक में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है। यह भेद्यता 'अनुमति वितरण समूहों पर आधारित रिपोर्ट' के माध्यम से शोषण की जा सकती है, जिससे हमलावर दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट कर सकते हैं। संस्करण 5802 में इस समस्या का समाधान किया गया है। तुरंत अपडेट करने की सलाह दी जाती है।
यह XSS भेद्यता हमलावरों को उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है। सफल शोषण के परिणामस्वरूप, हमलावर संवेदनशील जानकारी जैसे उपयोगकर्ता क्रेडेंशियल, ईमेल सामग्री और अन्य व्यक्तिगत डेटा चुरा सकते हैं। इसके अतिरिक्त, हमलावर उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट कर सकते हैं या उनके ब्राउज़र में अनधिकृत क्रियाएं कर सकते हैं। इस भेद्यता का उपयोग फ़िशिंग हमलों को लॉन्च करने या सिस्टम पर नियंत्रण हासिल करने के लिए भी किया जा सकता है। यह भेद्यता विशेष रूप से उन संगठनों के लिए गंभीर है जो Exchange Reporter Plus का उपयोग अपने ईमेल सर्वर की निगरानी और रिपोर्टिंग के लिए करते हैं, क्योंकि यह उनके संवेदनशील डेटा और सिस्टम की सुरक्षा को खतरे में डाल सकता है।
CVE-2026-28756 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन XSS भेद्यताएँ आम तौर पर शोषण के लिए आसान होती हैं। इस भेद्यता को CISA KEV में जोड़ा गया है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) अभी तक नहीं हैं, लेकिन XSS भेद्यताओं के लिए कई सामान्य शोषण तकनीकें मौजूद हैं।
Organizations utilizing ManageEngine Exchange Reporter Plus for email reporting and analysis are at risk, particularly those relying on the Permissions based on Distribution Groups report. Shared hosting environments where multiple users share the same Exchange Reporter Plus instance are especially vulnerable, as an attacker could potentially compromise the entire environment through a single user's session.
• manageengine / web:
curl -s -X POST "<exchange_reporter_plus_url>/report/permissions_based_on_distribution_groups?param=<xss_payload>" | grep -i "<xss_payload>"• generic web:
curl -s -X POST "<exchange_reporter_plus_url>/report/permissions_based_on_distribution_groups?param=<xss_payload>" | grep -i "<xss_payload>"disclosure
एक्सप्लॉइट स्थिति
EPSS
0.02% (4% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-28756 को कम करने के लिए, ManageEngine Exchange Reporter Plus को संस्करण 5802 या उच्चतर में तुरंत अपडेट करें। यदि तत्काल अपग्रेड संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके XSS हमलों को ब्लॉक करने का प्रयास करें। वितरण समूहों पर आधारित रिपोर्ट के इनपुट को सैनिटाइज़ करने के लिए अतिरिक्त सुरक्षा उपाय लागू करें। नियमित रूप से लॉग की निगरानी करें और किसी भी संदिग्ध गतिविधि के लिए जांच करें। सुनिश्चित करें कि सभी उपयोगकर्ता मजबूत पासवर्ड का उपयोग कर रहे हैं और फ़िशिंग हमलों के बारे में जागरूक हैं। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, एक सुरक्षा स्कैन चलाएं।
Actualice ManageEngine Exchange Reporter Plus a la versión 5802 o posterior. Esta actualización corrige la vulnerabilidad XSS almacenada en el informe de Permisos basados en Grupos de Distribución.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-28756 ManageEngine Exchange Reporter Plus के संस्करण 0–5802 में 'अनुमति वितरण समूहों पर आधारित रिपोर्ट' में संग्रहीत XSS भेद्यता है।
यदि आप ManageEngine Exchange Reporter Plus के संस्करण 0 से 5802 का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
ManageEngine Exchange Reporter Plus को संस्करण 5802 या उच्चतर में तुरंत अपडेट करें।
CVE-2026-28756 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन यह शोषण के लिए संवेदनशील है।
ManageEngine की आधिकारिक सलाहकार उनकी वेबसाइट पर उपलब्ध है: [https://www.manageengine.com/products/exchange-reporter/security-advisories.html](https://www.manageengine.com/products/exchange-reporter/security-advisories.html)
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।