CVE-2025-40773
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W systemie SiPass integrated (wszystkie wersje przed V3.0) wykryto podatność związaną z uszkodzoną kontrolą dostępu. Mechanizm autoryzacji nie zawiera wystarczających kontroli po stronie serwera, co pozwala atakującemu na wykonanie konkretnego żądania API.
Ocena ryzyka
Atakujący może manipulować danymi innych użytkowników, co może prowadzić do naruszenia integralności danych i nieautoryzowanych zmian w systemie.
Rekomendacja
Zaleca się aktualizację SiPass integrated do wersji V3.0 lub nowszej, która zawiera poprawkę, oraz wdrożenie dodatkowych kontroli dostępu.
Inne podatności w SiPass integrated
Zobacz wszystkie- CVE-2025-40774Średnie
W SiPass integrated (wszystkie wersje < V3.0) aplikacje serwerowe przechowują hasła użytkowników w bazie danych w formie zaszyfrowanej. Klucze deszyfrujące są dostępne dla użytkowników z uprawnieniami administracyjnymi, co pozwala im odzyskać hasła. Udane wykorzystanie pozwala atakującemu uzyskać i użyć ważnych haseł użytkowników, co może prowadzić do nieautoryzowanego dostępu, wycieku danych i kompromitacji systemu.
- CVE-2025-40772Wysokie
W SiPass integrated (wszystkie wersje < V3.0) wykryto podatność typu stored Cross-Site Scripting (XSS) w aplikacjach serwerowych. Atakujący może wstrzyknąć złośliwy kod, który zostanie wykonany przez innych użytkowników odwiedzających podatną stronę.
- CVE-2022-31810Wysokie
W SiPass integrated (wszystkie wersje < V2.90.3.8) aplikacje serwerowe nieprawidłowo sprawdzają rozmiar pakietów danych odbieranych podczas logowania klienta konfiguracji, co powoduje przepełnienie bufora na stosie. Może to pozwolić nieuwierzytelnionemu zdalnemu atakującemu na zawieszenie aplikacji serwerowej i wywołanie odmowy usługi.
- CVE-2022-31808Wysokie
Podatność w SiPass integrated AC5102 (ACC-G2) (wersje < V2.85.44) i ACC-AP (wersje < V2.85.43) polega na niewłaściwej sanityzacji danych wejściowych w interfejsie wiersza poleceń telnet. Uwierzytelniony użytkownik może eskalować uprawnienia, wstrzykując dowolne polecenia wykonywane z uprawnieniami roota.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in SiPass integrated (All versions < V3.0). Affected server applications contains a broken access control vulnerability. The authorization mechanism lacks sufficient server-side checks, allowing an attacker to execute a specific API request. Successful exploitation allows an attacker to potentially manipulate data belonging to other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS