CVE-2026-107060

🎯 CVE-2026-107060 🧪 PoC 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2026-107060 | Insecure permissions in Tailscale versionCode 297862600 allows unauthorized attackers to make arbitrary changes to another user's VPN configurations and preferences.

Insecure permissions in Tailscale versionCode 297862600 allows unauthorized attackers to make arbitrary changes to another user's VPN configurations and preferences.

Klassifikation & Betroffenheit:

CWE-732 n/a n/a n/a

Incorrect Permission Assignment for Critical Resource 🎯 High

The product specifies permissions for a security-critical resource in a way that allows that resource to be read or modified by unintended actors.

🛡️ Empfohlene Mitigation: When using a critical resource such as a configuration file, check to see if the resource has insecure permissions (such as being modifiable by any regular user) [REF-62], and generate an error or even exit the software if there is a possibility that the resource could have been modified by an unauthorized party.

Vollständige Definition bei MITRE ➔

⚔️ Typische Angriffsmuster (CAPEC):

CAPEC-1 · Accessing Functionality Not Properly Con… (High) CAPEC-17 · Using Malicious Files (Very High) CAPEC-60 · Reusing Session IDs (aka Session Replay) (High) CAPEC-122 · Privilege Abuse (Medium) CAPEC-127 · Directory Indexing (Medium) CAPEC-180 · Exploiting Incorrectly Configured Access… (Medium) CAPEC-206 · Signing Malicious Code (Very High) CAPEC-234 · Hijacking a privileged process (Medium)

🎯 ATT&CK-Techniken (Kill-Chain-Verhalten):

T1574.010 · Hijack Execution Flow: ServicesFil… T1574.005 · Hijack Execution Flow: Executable … T1134.001 · Access Token Manipulation:Token Im… T1550.004 · Use Alternate Authentication Mater… T1548 · Abuse Elevation Control Mechanism T1083 · File and Directory Discovery

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-95182 10.0 CVE-2024-34323 10.0 CVE-2025-70518 10.0 CVE-2026-37541 10.0 CVE-2026-36767 10.0

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2026

Veröffentlicht 10/2026

Heute 09.11.

CVSS-Vektor-Analyse: 9.1

AV · Angriffsvektor Netzwerk

AC · Komplexität Gering

PR · Privilegien Keine

UI · Interaktion Keine

S · Scope Unverändert

C · Vertraulichkeit Hoch

I · Integrität Hoch

A · Verfügbarkeit Keine

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Veröffentlicht:29.10.2026

Aktualisiert:30.10.2026 19:18

Assigner (CNA):mitre

EUVD-ID:EUVD-2026-113254

Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache

CWE-732 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	785	0,2 %
≥50 %	3.559	0,9 %
≥10 %	13.141	3,2 %
<10 %	396.070	95,8 %

Tier

CVEs

Anteil

≥90 %

785

0,2 %

≥50 %

3.559

0,9 %

≥10 %

13.141

3,2 %

<10 %

396.070

95,8 %

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

9.1 CRITICAL

EPSS

0.3%

CVE-2026-107060 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig

n/a

CVE-2026-107060 | Insecure permissions in Tailscale versionCode 297862600 allows unauthorized attackers to make arbitrary changes to another user's VPN configurations and preferences.

Insecure permissions in Tailscale versionCode 297862600 allows unauthorized attackers to make arbitrary changes to another user's VPN configurations and preferences.

CWE-732 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 11 Tagen ↻ vor 9 Tagen

🛡️ Details ➔

CVE-2026-107060 | Insecure permissions in Tailscale versionCode 297862600 allows unauthorized attackers to make arbitrary changes to another user's VPN configurations and preferences.

Zero-Day & Vulnerability Intelligence Hub

CVE-2026-107060 | Insecure permissions in Tailscale versionCode 297862600 allows unauthorized attackers to make arbitrary changes to another user's VPN configurations and preferences.