CVE-2026-103406 (CVSS 9.8): Невідповідна нейтралізація спеціальних символів, використаних у команді ОС, уразливість в AutomatedProvisioner в Juniper

Дані Listing CVE THREATINT показують, що CVE-2026-103406 був опублікований 28.10.2026[2], з Juniper у ролі розробника та оцінкою CVSS "CRITICAL: 9.8". Strix зазначає, що аналіз NVD[3] залишався "очікуванням" під час його публікації.VulDB вказує, що дефект впливає на Juniper Session Smart Conductor до версії 7.0.4/7.1.6/7.2.2[4]. У ньому зазначається, що можливість експлуатації легка[4] та що експлуатація не вимагає ніякої форми автентифікації[4].Brandefense повідомляє, що CVE є частиною бюлетеня Juniper JSA112183[5], який охоплює 18 CVE в Session Smart Router та Session Smart Conductor. На думку Brandefense, два мають оцінку CVSS 9.8: CVE-2026-103409 (Router) та CVE-2026-103406 (Conductor)[5].Brandefense також повідомляє, що Juniper виправила всі з них у версіях 7.0.5, 7.1.7 та 7.2.3[5], і що бюлетень не наводить жодних відомих обхідних рішень[5]. Brandefense додає, що Juniper заявляє, що проблеми виявлені під час власного тестування безпеки продуктів або досліджень компанії[5].Brandefense повідомляє, що SIRT Juniper не має відомостей про зловмисну експлуатацію[5]. Видання також повідомляє, що жодна з 18 CVE не входить до каталогу CISA[5], на основі перевірки, проведеної 28 жовтня.OffSeq's Threat Radar вказує дефект як невідомо експлуатованим[6]. Він рекомендує операторам надати пріоритет патчу Juniper Networks Session Smart Conductor[6].