Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] VMware opravuje 3 zranitelnosti ve svých produktech

VMware opravuje 3 zranitelnosti ve svých produktech, které obsahují komponentu VMware Aria Operations [1]. V případě VMware Telco Cloud Platform a VMware Telco Cloud Infrastructure postupujte podle KB428241 [2]. Produkty a jejich opravené verze [1]: VMware Cloud Foundation - 9.0.2.0, 5.2.3, VMware vSphere Foundation - 9.0.2.0, VMware Aria Operations - 8.18.6.

VMware Aria Operations - RCE (CVE-2026-22719)
CVSS 8.1 (High)

Neautentizovanému vzdálenému útočníkovi je v prostředí VMware Aria Operations v důsledku nedostatečného ošetření vstupů umožněno spustit kód. Tato zranitelnost je zneužitelná výhradně během aktivního procesu migrace produktu v režimu s asistencí technické podpory [1].

Zranitelnost se nachází v produktech:

  • VMware Aria Operations; >=8.0, <8.18.6
  • VMware Cloud Foundation; >=9.0, <9.0.2.0
  • VMware Cloud Foundation; >=4.0, <5.2.3
  • VMware vSphere Foundation; >=8.0, <8.18.6
  • VMware Telco Cloud Platform;
  • VMware Telco Cloud Infrastructure;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-22719 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 2. 2026.

VMware Aria Operations - XSS (CVE-2026-22720)
CVSS 7.3 (High)

Autentizovanému vzdálenému útočníkovi s oprávněním vytvářet vlastní benchmarky je umožněno provést uložený XSS útok, což může vést k vykonání administrátorských akcí v kontextu oběti [1].

Zranitelnost se nachází v produktech:

  • VMware Aria Operations; >=8.0, <8.18.6
  • VMware Cloud Foundation; >=9.0, <9.0.2.0
  • VMware Cloud Foundation; >=4.0, <5.2.3
  • VMware vSphere Foundation; >=8.0, <8.18.6
  • VMware Telco Cloud Platform;
  • VMware Telco Cloud Infrastructure;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Více informací:

  • CVE-2026-22720 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 2. 2026.

VMware Aria Operations - eskalace oprávnění (CVE-2026-22721)
CVSS 6.2 (Medium)

Autentizovanému vzdálenému útočníkovi s oprávněními v platformě vCenter poskytujícími přístup k VMware Aria Operations je umožněno eskalovat oprávnění až na úroveň administrátora [1].

Zranitelnost se nachází v produktech:

  • VMware Aria Operations; >=8.0, <8.18.6
  • VMware Cloud Foundation; >=9.0, <9.0.2.0
  • VMware Cloud Foundation; >=4.0, <5.2.3
  • VMware vSphere Foundation; >=8.0, <8.18.6
  • VMware Telco Cloud Platform;
  • VMware Telco Cloud Infrastructure;

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:L

Více informací:

Zranitelnost byla veřejně oznámena 24. 2. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dne 4. 3. 2026.

CESNET, z.s.p.o. Logo