Command Injection in Zohocorp ManageEngine ADSelfService Plus (CVE-2026-2740)
Summary
Command injection in Zohocorp ManageEngine ADSelfService Plus (CVE-2026-2740). Confidential information can be exposed externally.
Original description
The description as published by the source.
Zohocorp ManageEngine ADSelfService Plus version before 6525, DataSecurity Plus before 6264 and RecoveryManager Plus before 6313 are vulnerable to Authenticated Remote code execution in the agent machines due to the bug in the 3rd party dependency.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ZohocorpのManageEngine製品であるADSelfService Plus、DataSecurity Plus、およびRecoveryManager Plusの特定バージョン以前に認証済みのリモートコード実行の脆弱性があります。問題は第三者の依存関係に含まれるバグによります。この脆弱性は攻撃者によりサーバー上で任意のコードを実行される可能性があります。
Zohocorp ManageEngineの製品における認証済みリモートコード実行の脆弱性
ADSelfService Plus バージョン 6525より前、DataSecurity Plus 6264より前、RecoveryManager Plus 6313より前
攻撃者が認証後にコードを実行可能で、高度な攻撃が可能
対象製品を最新バージョンにアップデートすること
製品バージョンのアップデートができない場合、ネットワークアクセスを制限する
影響を受けるバージョンを使用しているか確認し、ログをチェックすることで異常な活動を検出
References
- web manageengine.com
- web nvd.nist.gov
- web github.com