CVE-2025-10223
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W panelu administracyjnym Web Admin Panel w AxxonSoft Axxon One (C-Werk) przed wersją 2.0.3 na Windows występuje niewystarczające wygasanie sesji. Uwierzytelniony atakujący (lokalnie lub zdalnie) może zachować dostęp po odebraniu uprawnień, używając niewygasłego tokena sesji aż do naturalnego wygaśnięcia.
Ocena ryzyka
Osoba, której odebrano uprawnienia, może nadal korzystać z systemu, co stanowi zagrożenie dla poufności i integralności danych oraz może prowadzić do nieautoryzowanych działań.
Rekomendacja
Zaktualizuj Axxon One do wersji 2.0.3 lub nowszej. Dodatkowo wdróż mechanizmy natychmiastowego unieważniania sesji po zmianie uprawnień.
Inne podatności w Axxon One
Zobacz wszystkie- CVE-2026-121022Wysokie
W kliencie webowym AxxonSoft Axxon One przed wersją 3.0.0 występuje użycie domyślnego hasła (CWE-1393). Ponieważ klient webowy nie wymuszał obowiązkowej zmiany hasła przy pierwszym logowaniu, zdalny nieuwierzytelniony atakujący może zalogować się jako wbudowany administrator na nowo zainstalowanym systemie przy użyciu domyślnych poświadczeń.
- CVE-2026-121021Średnie
Wspólna konfiguracja SecurityManager w AxxonSoft Axxon One przed wersją 3.1.0 przechowuje hasło w postaci jawnej (CWE-256). Lokalny atakujący z dostępem do katalogu konfiguracji lub kopii zapasowych może odczytać hasło konta usługi LDAP z pliku main.conf.
- CVE-2026-121020Średnie
W interfejsie API konfiguracji bezpieczeństwa AxxonSoft Axxon One przed wersją 3.2.0 występuje ujawnienie poufnych informacji nieuprawnionemu podmiotowi (CWE-200). Zdalny uwierzytelniony użytkownik z ograniczonymi uprawnieniami może wyliczyć wszystkie konta i role w systemie, ponieważ żądanie konfiguracji użytkowników zwracało pełne listy niezależnie od uprawnień wywołującego.
Oryginalny opis (angielski, źródło NVD)
Insufficient Session Expiration (CWE-613) in the Web Admin Panel in AxxonSoft Axxon One (C-Werk) prior to 2.0.3 on Windows allows a local or remote authenticated attacker to retain access with removed privileges via continued use of an unexpired session token until natural expiration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS