CVE-2025-41018

KrytyczneCVSS 9.8

Opublikowano: 16/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Podatność SQL Injection w Sergestec Exito v8.0. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie baz danych przez parametr 'cat' w pliku '/public.php'.

Ocena ryzyka

Atakujący może uzyskać pełny dostęp do baz danych, co może prowadzić do utraty danych, naruszenia integralności i poufności informacji.

Rekomendacja

Zaleca się natychmiastowe wdrożenie poprawek lub ograniczenie dostępu do podatnego punktu końcowego, a także stosowanie sparametryzowanych zapytań.

Inne podatności w Exito

CVE-2025-41020Wysokie
W Sergestec Exito v8.0 występuje podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR). Atakujący może uzyskać dostęp do danych należących do innych klientów poprzez parametr 'id' w '/admin/ticket_a4.php'.

Oryginalny opis (angielski, źródło NVD)

SQL injection in Sergestec's Exito v8.0. This vulnerability allows an attacker to retrieve, create, update, and delete databases through the 'cat' parameter in '/public.php'.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS