Kerngegevens
- Leverancier
- Ivanti
- Product
- Ivanti Xtraction
- Soort software
- VPN
- Getroffen versies
- Ivanti Xtraction alle versies voor 2026.4
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Ivanti Xtraction 2026.4
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de exportfunctie voor sjablonen van Ivanti Xtraction zit een fout waarmee een aanvaller bestanden kan lezen die hij niet zou mogen zien. Het gaat om een zogeheten path traversal: door een aangepast pad mee te sturen kom je buiten de bedoelde map terecht. Het lek heeft ernst hoog (7,7). Er is een opgeloste versie beschikbaar.
Wie loopt risico?
Je loopt risico als je een Ivanti Xtraction-versie gebruikt die ouder is dan 2026.4. De aanvaller moet wel over een geldig account beschikken en kan het lek via het netwerk misbruiken. In de gegevens staat niet dat het lek actief wordt misbruikt en er is geen publieke exploit bekend.
Wat moet je doen?
Controleer je versie
Kijk welke versie van Ivanti Xtraction je gebruikt. Is dat een versie ouder dan 2026.4, dan ben je kwetsbaar.
Update naar versie 2026.4
Werk Ivanti Xtraction bij naar versie 2026.4. Daarin is dit lek opgelost.
Lees het advies van Ivanti
Ivanti beschrijft dit lek in een advies waarin meerdere kwetsbaarheden staan. Lees dat advies voor alle details en kijk of andere meldingen ook voor jouw omgeving gelden.
Beperk de toegang
Zolang je nog niet hebt bijgewerkt, kun je het beste beperken wie kan inloggen op Xtraction. Zo verklein je de kans dat iemand met een geldig account het lek misbruikt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-106042, CVE-2026-106043. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De exportfunctie voor sjablonen in Ivanti Xtraction controleert het opgegeven bestandspad onvoldoende. Daardoor kan een aanvaller met een geldig account via path traversal bestanden buiten de bedoelde map lezen. De aanval verloopt via het netwerk, is weinig complex en vraagt geen interactie van een andere gebruiker. Volgens de CVSS-vector (3.1) heeft het lek een hoge impact op vertrouwelijkheid en is de scope gewijzigd, maar is er geen impact op integriteit of beschikbaarheid. Versies van Ivanti Xtraction vóór 2026.4 zijn getroffen.
CVSS-vector (versie 3.1, basisscore 7,7, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-22 · Path traversal (onvoldoende beperking van een pad tot een afgeschermde map)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee