یک آسیب‌پذیری امنیتی با شدت CRITICAL در نرم‌افزار ManageEngine Applications Manager کشف شده است که با شناسه CVE-2026-86708 ثبت شده است. این نقص امنیتی در نسخه‌های 182200 و قدیمی‌تر این محصول مشاهده شده است.
جزئیات فنی آسیب‌پذیری
بررسی‌ها نشان می‌دهد که در فایل نصب (Installer) این برنامه، یک کلید خصوصی مربوط به Google Cloud service-account به صورت غیرایمن قرار گرفته و در معرض افشا قرار دارد. این موضوع به یک مهاجم بدون نیاز به احراز هویت (Unauthenticated Attacker) اجازه می‌دهد تا:
- خود را به جای حساب سرویس (Service Account) معرفی کند (Impersonation).
- به منابع ابری مرتبط با این حساب دسترسی پیدا کرده یا آن‌ها را تغییر دهد.
با توجه به سطح دسترسی‌های احتمالی این حساب‌های سرویس در محیط‌های ابری، این آسیب‌پذیری می‌تواند منجر به نشت داده‌های حساس یا تغییر در پیکربندی‌های زیرساختی سازمان شود.
