CVE-2025-15240
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer zawiera podatność umożliwiającą dowolne przesyłanie plików. Uwierzytelniony zdalny atakujący może przesłać i wykonać webshell, co pozwala na wykonanie dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący może przejąć pełną kontrolę nad serwerem, wykraść dane medyczne pacjentów lub zakłócić działanie systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek dostarczonych przez producenta oraz ograniczenie dostępu do platformy wyłącznie dla zaufanych użytkowników. Należy również wdrożyć mechanizmy walidacji i filtrowania przesyłanych plików.
Inne podatności w QOCA aim AI Medical Cloud Platform
Zobacz wszystkie- CVE-2025-15239Średnie
Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer zawiera podatność typu SQL Injection, umożliwiającą uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.
- CVE-2025-15238Średnie
Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer zawiera podatność typu SQL Injection, umożliwiającą uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.
- CVE-2025-15237Średnie
Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer ma podatność Path Traversal, umożliwiającą uwierzytelnionym zdalnym atakującym odczyt nazw folderów w określonej ścieżce poprzez wykorzystanie Absolute Path Traversal.
- CVE-2025-15236Średnie
Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer ma podatność Path Traversal, umożliwiającą uwierzytelnionym zdalnym atakującym odczyt nazw folderów w określonej ścieżce poprzez wykorzystanie Absolute Path Traversal.
- CVE-2025-15235Średnie
Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer ma podatność braku autoryzacji, która pozwala uwierzytelnionym zdalnym atakującym modyfikować określone parametry pakietów sieciowych. Umożliwia to niektórym funkcjom systemu dostęp do plików innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
QOCA aim AI Medical Cloud Platform developed by Quanta Computer has an Arbitrary File Upload vulnerability, allowing authenticated remote attackers to upload and execute web shell backdoors, thereby enabling arbitrary code execution on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS