-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in N-able N-central
Advisory ID     : NCSC-2026-0478
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-91000, CVE-2026-125878, CVE-2026-125879,
                  CVE-2026-125880, CVE-2026-125881, CVE-2026-125882,
                  CVE-2026-125883
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Relative Path Traversal
                  Improper Neutralization of Input During Web Page
                  Generation
                  Incorrect Privilege Assignment
                  Missing Authentication for Critical Functionality
                  Improper Restriction of XML External Entity Reference
                  Improper Neutralization of HTTP Headers for Scripting
                  Syntax
                  Server-Side Request Forgery
Uitgiftedatum   : 20261111
Toepassing      : N-able N-central
Versie(s)       :
Platform(s)     :

Beschrijving
   N-able heeft meerdere kwetsbaarheden verholpen in N-able N-central.
   Deze kwetsbaarheden treffen versies ouder dan 2026.4.1.26.

   Er meerdere kwetsbaarheden met betrekking tot XML External Entity
   (XXE), waardoor de verwerking van XML-data mogelijk op ongewenste
   wijze kan worden beïnvloed. Daarnaast zijn er kwetsbaarheden in de
   vorm van OGNL Injection en Stored Cross-Site Scripting (XSS), waarbij
   kwaadaardige code kan worden geïnjecteerd en uitgevoerd binnen de
   webinterface, waaronder in de context van een administrator.
   Verder zijn er meerdere kwetsbaarheden die lokale privilege-escalatie
   mogelijk maken, waaronder via een onjuist beveiligde syslog-ng-
   configuratie en onveilige Inter-Process Communication (IPC)-kanalen.
   Ook is er sprake van een Server-Side Request Forgery
   (SSRF)-kwetsbaarheid via de validatie van schema-informatie bij het
   importeren van services. Ten slotte is een kwetsbaarheid vastgesteld
   in de verwerking van bestandspaden bij het uploaden naar de file
   repository, waarbij path traversal kan leiden tot Remote Code
   Execution (RCE).

Mogelijke oplossingen
   N-able heeft N-central 2026.4 HF2 (build 2026.4.1.26) uitgebracht,
   waarin de betreffende kwetsbaarheden zijn verholpen. Zie bijgevoegde
   referenties voor meer informatie.

   Referenties:
      Reference
      https://status.n-able.com/2026/11/10/n-central-2026-4-hf2-release-
      notes/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=4jvJ
-----END PGP SIGNATURE-----