CVE-2026-6266
Vulnérabilité élevée
CVSS 8.3 · Élevée
EPSS 0.6%
•Versions : 0:4.6.28-3.el8ap, 0:4.7.11-2.el9ap, 4.6.0, 4.7.0, 0:2.5.20260422-2.el8ap, <4.6.28, 1777377014, 2.6.0, <2.5.20260422, <2.6.20260422, 0:4.6.28-3.el9ap, <4.7.11, 1777311120, 0:2.6.20260422-1.el9ap, 0:2.5.20260422-2.el9ap, 2.5.0, <*
Description
A flaw was found in the AAP gateway. The user auto-link strategy, introduced in AAP 2.6, automatically links an external Identity Provider (IDP) identity to an existing AAP user account based on email matching without verifying email ownership. This allows a remote attacker to potentially hijack a victim's account or gain unauthorized access to other accounts, including administrative accounts, by manipulating the IDP-provided email.
Gravité et risque d'exploitation
CVE-2026-6266 obtient un score CVSS de 8.3/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.57 %, ce qui la place devant 46.3 % des CVE référencées.
Que faire ?
- Vérifiez si le produit concerné (versions 0:4.6.28-3.el8ap, 0:4.7.11-2.el9ap, 4.6.0, 4.7.0, 0:2.5.20260422-2.el8ap, <4.6.28, 1777377014, 2.6.0, <2.5.20260422, <2.6.20260422, 0:4.6.28-3.el9ap, <4.7.11, 1777311120, 0:2.6.20260422-1.el9ap, 0:2.5.20260422-2.el9ap, 2.5.0, <*) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.