CVE-2026-103406 (CVSS 9.8): Eine Improper Neutralization of Special Elements used in an OS Command vulnerability in the AutomatedProvisioner in Junipe

THREATINTs CVE-Auflistung zeigt, dass CVE-2026-103406 am 28.10.2026 veröffentlicht[2] wurde, mit Juniper als Zuweiser und einer "CRITICAL: 9.8" CVSS-Bewertung. Strix vermerkt, dass NVD-Analyse[3] noch "ausstehend" war, als es veröffentlichte. VulDB sagt, dass die Schwachstelle betrifft Juniper Session Smart Conductor bis 7.0.4/7.1.6/7.2.2[4]. Es heißt, die Ausnutzbarkeit soll leicht sein[4] und dass eine Ausnutzung keine Authentifizierung erfordert[4]. Brandefense berichtet, dass die CVE Teil von Juniper-Mitteilung JSA112183[5] ist, die 18 CVEs in Session Smart Router und Session Smart Conductor abdeckt. Nach Brandefense erhalten zwei die Bewertung CVSS 9.8: CVE-2026-103409 (Router) und CVE-2026-103406 (Conductor)[5]. Brandefense berichtet auch, dass Juniper alle in 7.0.5, 7.1.7 und 7.2.3 behoben hat[5], und dass die Mitteilung keine bekannten Workarounds auflistet[5]. Brandefense fügt hinzu, dass Juniper sagt, seine eigenen Produktsicherheitstests oder Forschung die Probleme gefunden hat[5]. Brandefense sagt, Juniper SIRT sagt, dass es von bösartiger Ausnutzung nicht bekannt ist[5]. Das Outlet sagt auch, keine der 18 CVEs befindet sich in CISAs Katalog[5], basierend auf einer Überprüfung am 28. Oktober. OffSeqs Threat Radar listet die Schwachstelle als nicht bekannt ausgenutzt zu werden[6]. Es rät Betreibern, Juniper Networks Session Smart Conductor als Priorität zu patchen[6].