CVE-2025-40774
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W SiPass integrated (wszystkie wersje < V3.0) aplikacje serwerowe przechowują hasła użytkowników w bazie danych w formie zaszyfrowanej. Klucze deszyfrujące są dostępne dla użytkowników z uprawnieniami administracyjnymi, co pozwala im odzyskać hasła. Udane wykorzystanie pozwala atakującemu uzyskać i użyć ważnych haseł użytkowników, co może prowadzić do nieautoryzowanego dostępu, wycieku danych i kompromitacji systemu.
Ocena ryzyka
Administrator lub atakujący z uprawnieniami administracyjnymi może odzyskać hasła użytkowników, co prowadzi do nieautoryzowanego dostępu i naruszenia danych.
Rekomendacja
Zaktualizuj SiPass integrated do wersji V3.0 lub nowszej oraz rozważ zmianę haseł użytkowników.
Inne podatności w SiPass integrated
Zobacz wszystkie- CVE-2025-40773Niskie
W systemie SiPass integrated (wszystkie wersje przed V3.0) wykryto podatność związaną z uszkodzoną kontrolą dostępu. Mechanizm autoryzacji nie zawiera wystarczających kontroli po stronie serwera, co pozwala atakującemu na wykonanie konkretnego żądania API.
- CVE-2025-40772Wysokie
W SiPass integrated (wszystkie wersje < V3.0) wykryto podatność typu stored Cross-Site Scripting (XSS) w aplikacjach serwerowych. Atakujący może wstrzyknąć złośliwy kod, który zostanie wykonany przez innych użytkowników odwiedzających podatną stronę.
- CVE-2022-31810Wysokie
W SiPass integrated (wszystkie wersje < V2.90.3.8) aplikacje serwerowe nieprawidłowo sprawdzają rozmiar pakietów danych odbieranych podczas logowania klienta konfiguracji, co powoduje przepełnienie bufora na stosie. Może to pozwolić nieuwierzytelnionemu zdalnemu atakującemu na zawieszenie aplikacji serwerowej i wywołanie odmowy usługi.
- CVE-2022-31808Wysokie
Podatność w SiPass integrated AC5102 (ACC-G2) (wersje < V2.85.44) i ACC-AP (wersje < V2.85.43) polega na niewłaściwej sanityzacji danych wejściowych w interfejsie wiersza poleceń telnet. Uwierzytelniony użytkownik może eskalować uprawnienia, wstrzykując dowolne polecenia wykonywane z uprawnieniami roota.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in SiPass integrated (All versions < V3.0). Affected server applications store user passwords encrypted in its database. Decryption keys are accessible to users with administrative privileges, allowing them to recover passwords. Successful exploitation of this vulnerability allows an attacker to obtain and use valid user passwords. This can lead to unauthorized access to user accounts, data breaches, and potential system compromise.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS