Pulse Secure Client SetupService Directory Traversal Local Privilege Escalation Vulnerability

Beschreibung

Der Pulse Secure Client SetupService enthält laut NVD eine Directory-Traversal-Schwachstelle, die eine lokale Rechteausweitung ermöglicht. Ursache ist eine fehlende Validierung eines nutzerkontrollierten Pfads vor dessen Verwendung in Dateioperationen. Ein Angreifer muss bereits über die Fähigkeit verfügen, mit niedrigen Rechten Code auf dem Zielsystem auszuführen, um die Lücke auszunutzen und Code im Kontext des Dienstes auszuführen. CVSS-Basiswert: 7.8 (Hoch).

Changelog

1. 2026-07-28 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ivanti EPMM / Sentry / Avalanche

• MLflow Server-Side Request Forgery Vulnerability KEV CVE-2026-64849
• Metabase SQL Injection Vulnerability KEV CVE-2026-72898
• WordPress – Route Confusion im REST-API-Batch-Endpoint KEV CVE-2026-63030
• Sangoma Switchvox SMB Edition – unauthentifizierte SQL-Injection über den /pa-Endpoint KEV CVE-2026-9586
• Ivanti Sentry: OS Command Injection ermöglicht Remote Code Execution als root KEV CVE-2026-10520
• Starlette – HTTP Request/Response-Smuggling durch fehlende Host-Header-Validierung KEV CVE-2026-48710