CVE-2025-46408

KrytyczneCVSS 9.8

Opublikowano: 15/09/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.66%

Percentyl 52 - wyżej niż 52% wszystkich znanych CVE

Streszczenie

W metodach push.lite.avtech.com.AvtechLib.GetHttpsResponse i push.lite.avtech.com.Push_HttpService.getNewHttpClient w AVTECH EagleEyes 2.0.0 wykryto problem. Metody ustawiają ALLOW_ALL_HOSTNAME_VERIFIER, co omija walidację domeny.

Ocena ryzyka

Omijanie walidacji nazwy hosta może umożliwić atakującemu przeprowadzenie ataku typu man-in-the-middle i przechwycenie lub modyfikację komunikacji. Może to prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Zaktualizuj AVTECH EagleEyes do wersji, która naprawia podatność, jeśli jest dostępna. Do czasu aktualizacji unikaj przesyłania wrażliwych danych przez aplikację.

Inne podatności w AVTECH EagleEyes

CVE-2025-50944Wysokie
W metodzie push.lite.avtech.com.MySSLSocketFactoryNew.checkServerTrusted w AVTECH EagleEyes 2.0.0 wykryto problem. Niestandardowy X509TrustManager używany w checkServerTrusted sprawdza jedynie datę ważności certyfikatu, pomijając prawidłową walidację łańcucha TLS.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in the methods push.lite.avtech.com.AvtechLib.GetHttpsResponse and push.lite.avtech.com.Push_HttpService.getNewHttpClient in AVTECH EagleEyes 2.0.0. The methods set ALLOW_ALL_HOSTNAME_VERIFIER, bypassing domain validation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS