Parallels Desktop Toolgate XML Injection Rechteausweitung

Beschreibung

In der Toolgate-Komponente von Parallels Desktop erlaubt fehlende Validierung einer nutzerkontrollierten Zeichenkette vor deren Verwendung beim Aufbau eines XML-Dokuments eine Rechteausweitung. Ein Angreifer muss zunächst die Möglichkeit erlangen, mit niedrigen Rechten Code auf dem Gast-System auszuführen, kann dann jedoch Rechte bis in den Kontext des Hypervisors ausweiten und beliebigen Code ausführen. Der Angriff erfolgt lokal bei hohem Aufwand, setzt eingeschränkte Rechte voraus, erfordert keine Nutzerinteraktion und wirkt sich scope-übergreifend aus; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit jeweils vollständig. CVSS-Basiswert: 7.8 (Hoch).

Changelog

1. 2026-07-28 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Zoho ManageEngine

• MLflow Server-Side Request Forgery Vulnerability KEV CVE-2026-64849
• Metabase SQL Injection Vulnerability KEV CVE-2026-72898
• WordPress – Route Confusion im REST-API-Batch-Endpoint KEV CVE-2026-63030
• Ivanti EPMM – Remote Code Execution durch fehlerhafte Eingabevalidierung KEV CVE-2026-6973
• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Microsoft Visual Basic for Applications – Insecure Library Loading KEV CVE-2012-1854