CVE-2025-58580

ŚrednieCVSS 6.5

Opublikowano: 06/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Punkt końcowy API umożliwia tworzenie dowolnych wpisów dziennika poprzez żądanie POST. Brak wystarczającej walidacji danych wejściowych pozwala atakującemu na tworzenie zmanipulowanych wpisów, fałszowanie lub rozmywanie logów.

Ocena ryzyka

Atakujący może zatruć lub zafałszować dzienniki, utrudniając wykrycie incydentów bezpieczeństwa i prowadzenie audytu. Może to prowadzić do ukrycia rzeczywistych ataków.

Rekomendacja

Należy wdrożyć ścisłą walidację danych wejściowych w punkcie końcowym API oraz ograniczyć możliwość tworzenia wpisów dziennika do uprawnionych procesów. Zaleca się również monitorowanie integralności logów.

Inne podatności w API

CVE-2025-14881Niskie
Wiele punktów końcowych API pozwalało na dostęp do wrażliwych plików innych użytkowników poprzez znajomość UUID pliku, które nie powinny być dostępne wyłącznie na podstawie UUID.

Oryginalny opis (angielski, źródło NVD)

An API endpoint allows arbitrary log entries to be created via POST request. Without sufficient validation of the input data, an attacker can create manipulated log entries and thus falsify or dilute logs, for example.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS