CVE-2025-59741
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W systemie AndSoft e-TMS w wersji v25.03.03 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może wykonać dowolne polecenia na serwerze, wysyłając specjalnie spreparowane żądanie POST z parametrem 'm' do zasobu '/CLT/LOGINERRORFRM.ASP'.
Ocena ryzyka
Podatność pozwala na pełne przejęcie serwera aplikacji, w tym kradzież danych, instalację złośliwego oprogramowania i ruch lateralny w sieci wewnętrznej. Ryzyko jest krytyczne, jeśli system jest dostępny z internetu lub z sieci o niskim zaufaniu.
Rekomendacja
Należy niezwłocznie zaktualizować AndSoft e-TMS do wersji nowszej niż v25.03.03 lub zastosować poprawkę od producenta. Do czasu aktualizacji zaleca się ograniczenie dostępu do zasobu '/CLT/LOGINERRORFRM.ASP' oraz wdrożenie reguł WAF blokujących wstrzykiwanie poleceń.
Inne podatności w AndSoft e-TMS
Zobacz wszystkie- CVE-2025-59743Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie SQL w pliku /inc/connect/CONNECTION.ASP przez ciasteczko 'SessionID'. Atakujący może wysłać żądanie POST, aby odczytać, tworzyć, aktualizować i usuwać dane w bazie danych.
- CVE-2025-59742Krytyczne
Podatność SQL injection w systemie AndSoft e-TMS w wersji 25.03. Występuje w parametrze 'USRMAIL' w pliku '/inc/login/TRACK_REQUESTFRMSQL.ASP' i pozwala atakującemu na odczyt, tworzenie, modyfikację oraz usuwanie danych w bazie poprzez wysłanie żądania POST.
- CVE-2025-59740Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_CAT.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59739Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_original.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59738Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_BET.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59737Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_LXA.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59736Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_DJO.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59735Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59774Średnie
AndSoft e-TMS w wersji v25.03 zawiera odzwierciedloną podatność Cross-Site Scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy URL z parametrami 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w ścieżce '/clt/LOGINFRM_VON.ASP'.
- CVE-2025-59773Średnie
W AndSoft e-TMS w wersji 25.03 występuje podatność typu odbity cross-site scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy adres URL. Podatne parametry to 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w pliku '/clt/LOGINFRM_TP.ASP'.
Oryginalny opis (angielski, źródło NVD)
Operating system command injection vulnerability in AndSoft's e-TMS v25.03. This vulnerability allows an attacker to execute operating system commands on the server by sending a POST request. The relationship between parameter and assigned identifier is a 'm' parameter in '/CLT/LOGINERRORFRM.ASP'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS