CVE-2025-58462
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
OPEXUS FOIAXpress Public Access Link (PAL) przed wersją 11.13.1.0 pozwala na wstrzyknięcie SQL przez SearchPopularDocs.aspx. Zdalny, nieuwierzytelniony atakujący może odczytać, zapisać lub usunąć dowolną zawartość w bazie danych.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do bazy danych, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaktualizuj OPEXUS FOIAXpress PAL do wersji 11.13.1.0 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzyknięcie SQL.
Inne podatności w OPEXUS FOIAXpress
Zobacz wszystkie- CVE-2025-62586Krytyczne
OPEXUS FOIAXpress pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zresetowanie hasła administratora. Podatność została naprawiona w wersji 11.13.2.0.
- CVE-2025-61999Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu przesłanie JavaScript lub innej zawartości osadzonej w obrazie SVG używanym jako logo. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy przeglądają dotknięte strony. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61998Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu wstrzyknięcie JavaScript lub innej zawartości jako adresu URL w Menedżerze linków pomocy technicznej. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy klikną złośliwy link. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61997Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w polu przesyłania obrazu banera Annual Report Enterprise. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
- CVE-2025-61996Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w szablonie Annual Report Template. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
OPEXUS FOIAXpress Public Access Link (PAL) before version 11.13.1.0 allows SQL injection via SearchPopularDocs.aspx. A remote, unauthenticated attacker could read, write, or delete any content in the underlying database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS