Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Product
- SharePoint Manager Plus
- Soort software
- beveiliging
- Getroffen versies
- SharePoint Manager Plus builds ouder dan 4507
- Oplossing
- Update beschikbaar
- Opgeloste versie
- SharePoint Manager Plus 4507
- CVE gepubliceerd
- 30 oktober 2026
- Gepubliceerd op LekkenRadar
- 2 november 2026
- Laatst gewijzigd bij NVD
- 30 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine SharePoint Manager Plus ouder dan build 4507 ontbreekt een goede toegangscontrole op de instellingen voor meerfactorauthenticatie (MFA); ManageEngine loste dit op in build 4507. Een ingelogde gebruiker met weinig rechten kan daardoor dingen doen die alleen een beheerder zou mogen doen. Zo kan die gebruiker MFA-instellingen lezen en aanpassen, MFA aan- of uitzetten, zien welke gebruikers MFA gebruiken en die MFA-accounts verwijderen.
Wie loopt risico?
Je loopt risico als je SharePoint Manager Plus gebruikt met een build ouder dan 4507. Een aanvaller heeft wel een account in de applicatie nodig, maar dat account mag weinig rechten hebben. Via het netwerk kan die persoon de beveiliging van de inlog verzwakken. Door ongeldige MFA-instellingen kan hij ook de beschikbaarheid verstoren, waardoor legitieme gebruikers niet meer kunnen inloggen. De update is al sinds november 2025 beschikbaar, dus wie regelmatig bijwerkt, is waarschijnlijk al beschermd.
Wat moet je doen?
Controleer je buildnummer
Kijk na welke build van SharePoint Manager Plus je gebruikt. Alles onder build 4507 is kwetsbaar.
Werk bij naar build 4507
Installeer build 4507 of nieuwer. Daarin heeft de leverancier dit lek opgelost. Gebruik hiervoor de informatie van de leverancier.
Controleer je MFA-instellingen
Kijk na of MFA nog aan staat en of de instellingen en de lijst met MFA-gebruikers nog kloppen. Herstel wat is gewijzigd of ontbreekt.
Beperk wie erbij kan
Zorg dat alleen vertrouwde gebruikers en netwerken bij de applicatie kunnen, en controleer welke accounts met lage rechten bestaan.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een ontbrekende autorisatiecontrole (CWE-862) in de MFA-functionaliteit van SharePoint Manager Plus. De applicatie controleert niet of een ingelogde gebruiker voldoende rechten heeft om de MFA-configuratie te beheren. Een gebruiker met lage rechten kan zo de MFA-configuratie lezen en wijzigen, MFA voor de applicatie in- of uitschakelen, MFA-gebruikers opsommen en MFA-accounts verwijderen. Ongeldige MFA-instellingen kunnen leiden tot denial of service, doordat legitieme gebruikers worden buitengesloten. Getroffen zijn builds vanaf 450 tot 4507; de reproductie van het lek gebruikt build 4506. De oplossing zit in build 4507, die al op 12 november 2025 is verschenen; het CVE-nummer is pas in oktober 2026 toegekend. De CVSS-score van 7,9 (versie 4.0) komt van de CNA (CIRCL). Let op: de vector vermeldt geen benodigde rechten (PR:N), terwijl de beschrijving uitgaat van een ingelogde gebruiker met lage rechten.
CVSS-vector (versie 4.0, basisscore 7,9, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-862 · Ontbrekende autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee