Skip to content
OpenAdvisories
High NCSC-2026-0478 7 CVEs

Kwetsbaarheden verholpen in N-able N-central

Published Nov 11, 2026 · Updated Nov 11, 2026 · nl

Vendor: N-able Product: N-central

Summary

N-able heeft meerdere kwetsbaarheden verholpen in N-able N-central. Deze kwetsbaarheden treffen versies ouder dan 2026.4.1.26.

Details

Interpretaties
Er meerdere kwetsbaarheden met betrekking tot XML External Entity (XXE), waardoor de verwerking van XML-data mogelijk op ongewenste wijze kan worden beïnvloed. Daarnaast zijn er kwetsbaarheden in de vorm van OGNL Injection en Stored Cross-Site Scripting (XSS), waarbij kwaadaardige code kan worden geïnjecteerd en uitgevoerd binnen de webinterface, waaronder in de context van een administrator.

Verder zijn er meerdere kwetsbaarheden die lokale privilege-escalatie mogelijk maken, waaronder via een onjuist beveiligde syslog-ng-configuratie en onveilige Inter-Process Communication (IPC)-kanalen. Ook is er sprake van een Server-Side Request Forgery (SSRF)-kwetsbaarheid via de validatie van schema-informatie bij het importeren van services. Ten slotte is een kwetsbaarheid vastgesteld in de verwerking van bestandspaden bij het uploaden naar de file repository, waarbij path traversal kan leiden tot Remote Code Execution (RCE).

Oplossingen
N-able heeft N-central 2026.4 HF2 (build 2026.4.1.26) uitgebracht, waarin de betreffende kwetsbaarheden zijn verholpen. Zie bijgevoegde referenties voor meer informatie.

Vulnerabilities 7

  • Critical 9.3
    CVE-2026-125881

    Schema-hint SSRF via service import schema validation

    Server-Side request forgery (SSRF) vulnerability in N-able N-central allows Server Side Request Forgery. This issue affects N-central: before 26.4.1.

    N-able N-central
  • Critical 9.3
    CVE-2026-125883

    Multiple XXE Vulnerabilities

    Improper restriction of XML external entity reference vulnerability in N-able N-central allows XML Schema Poisoning. This issue affects N-central: before 26.4.1.

    N-able N-central
  • High 8.7
    CVE-2026-125878

    Multiple OGNL Injection vulnerabilities

    Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in N-able N-central allows Resource Injection. This issue affects N-central: before 26.4.1.

    N-able N-central
  • High 8.6
    CVE-2026-125879

    Local privilege escalation to root via nable-writable syslog-ng config

    Incorrect privilege assignment vulnerability in N-able N-central allows Privilege Escalation. This issue affects N-central: before 26.4.1.

    N-able N-central
  • High 8.6
    CVE-2026-125882

    RCE via file repository upload path traversal

    Relative path traversal vulnerability in N-able N-central allows Path Traversal. This issue affects N-central: before 26.4.1.

    N-able N-central
  • High 8.4
    CVE-2026-91000

    Insecure IPC Channels lead to local privilege escalation

    Missing authentication for critical function vulnerability in N-able N-central allows Privilege Escalation. This issue affects N-central: before 2026.4.1.

    N-able N-central
  • High 8.3
    CVE-2026-125880

    Stored XSS via MMS3 patch metadata (admin context)

    Improper neutralization of HTTP headers for scripting syntax vulnerability in N-able N-central allows Cross-Site Scripting (XSS). This issue affects N-central: before 26.4.1.

    N-able N-central

Revision history

  1. #1.0.0

    Initiele versie

References

  • Reference
    https://status.n-able.com/2026/11/10/n-central-2026-4-hf2-release-notes/