CVE-2025-52622
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Odpowiedzi HTTP w BigFix SaaS nie zawierały niektórych nagłówków bezpieczeństwa. Brak tych nagłówków osłabia bezpieczeństwo po stronie klienta aplikacji, czyniąc ją bardziej podatną na typowe ataki internetowe, które te nagłówki mają na celu łagodzić, takie jak Cross-Site Scripting (XSS), Clickjacking i ataki polegające na obniżeniu protokołu.
Ocena ryzyka
Brak nagłówków bezpieczeństwa może ułatwić atakującym przeprowadzenie ataków XSS, clickjacking lub wymuszenie niebezpiecznych połączeń, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Skonfiguruj serwer BigFix SaaS do wysyłania odpowiednich nagłówków bezpieczeństwa, takich jak Content-Security-Policy, X-Frame-Options i Strict-Transport-Security. Skontaktuj się z dostawcą w celu uzyskania poprawek.
Powiązane podatności
- CVE-2026-123294Krytyczne
W JetBrains Hub przed wersją 2026.2.52556 możliwe było podniesienie uprawnień poprzez zmianę danych uwierzytelniania e-mail w trakcie procesu weryfikacji.
- CVE-2026-123279Krytyczne
W JetBrains Datalore przed wersją 2026.4 możliwe było wykonanie kodu w obliczeniach notebooka przez współpracowników z uprawnieniami tylko do odczytu.
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
- CVE-2026-120844Krytyczne
Wtyczka miniOrange OAuth Single Sign On – SSO (OAuth Client) do wersji 7.1.3 zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień.
- CVE-2026-119516Krytyczne
Wtyczka Radius Booking — Booking Calendar for Appointments & Services do wersji 1.0.20 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu.
- CVE-2026-118423Krytyczne
Wtyczka WordPress WP Libre Form w wersji 1.5.0.1 nie weryfikuje typu plików przesyłanych przez formularze, co pozwala nieuwierzytelnionym atakującym przesłać pliki PHP do lokalizacji dostępnej przez sieć i je wykonać, prowadząc do zdalnego wykonania kodu.
- CVE-2026-116533Krytyczne
Wtyczka WordPress Static Snapshot do wersji 0.2.1 włącznie nie sanityzuje metaznaków powłoki w wartości dostarczonej przez użytkownika przed dołączeniem jej do poleceń systemu operacyjnego wykonywanych przez serwer. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych poleceń na hoście.
- CVE-2026-63774Krytyczne
W projektancie raportów PowerSYSTEM Center występuje niewystarczająca walidacja danych wejściowych. Uwierzytelniony użytkownik może dzięki temu wykonywać nieautoryzowane polecenia SQL.
- CVE-2026-63017Krytyczne
W PowerSYSTEM Center występuje nieprawidłowa kontrola autoryzacji. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do zasobów zarezerwowanych normalnie dla administratorów.
- CVE-2026-77596Krytyczne
W Kubeflow Pipelines przed wersją 2.18.0 punkty końcowe HTTP do przesyłania pipeline'ów i ich wersji nie wykonują kontroli SubjectAccessReview, gdy docelowa przestrzeń nazw jest pusta, a REQUIRE_NAMESPACE_FOR_PIPELINES domyślnie wynosi false. Użytkownik o niskich uprawnieniach może tworzyć współdzielone pipeline'y lub wstrzykiwać własne wersje do istniejących pipeline'ów bez wymaganych uprawnień zapisu. Jeśli serwer API jest bezpośrednio osiągalny bez proxy uwierzytelniającego, ten sam obejściowy mechanizm może wykorzystać nieuwierzytelniony wywołujący.
Oryginalny opis (angielski, źródło NVD)
The BigFix SaaS's HTTP responses were missing some security headers. The absence of these headers weakens the application's client-side security posture, making it more vulnerable to common web attacks that these headers are designed to mitigate, such as Cross-Site Scripting (XSS), Clickjacking, and protocol downgrade attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS