CVE-2025-59754
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność na odbity atak XSS w systemie e-TMS firmy AndSoft w wersji v25.03. Umożliwia atakującemu wykonanie kodu JavaScript w przeglądarce ofiary poprzez złośliwy URL. Parametry 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w ścieżce '/clt/LOGINFRM_original.ASP' są podatne.
Ocena ryzyka
Atakujący może wykraść dane uwierzytelniające lub przejąć sesję użytkownika, co może prowadzić do nieautoryzowanego dostępu do systemu.
Rekomendacja
Należy zaktualizować system e-TMS oraz zastosować filtrowanie danych wejściowych dla wszystkich wymienionych parametrów.
Inne podatności w AndSoft e-TMS
Zobacz wszystkie- CVE-2025-59743Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie SQL w pliku /inc/connect/CONNECTION.ASP przez ciasteczko 'SessionID'. Atakujący może wysłać żądanie POST, aby odczytać, tworzyć, aktualizować i usuwać dane w bazie danych.
- CVE-2025-59742Krytyczne
Podatność SQL injection w systemie AndSoft e-TMS w wersji 25.03. Występuje w parametrze 'USRMAIL' w pliku '/inc/login/TRACK_REQUESTFRMSQL.ASP' i pozwala atakującemu na odczyt, tworzenie, modyfikację oraz usuwanie danych w bazie poprzez wysłanie żądania POST.
- CVE-2025-59741Krytyczne
W systemie AndSoft e-TMS w wersji v25.03.03 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może wykonać dowolne polecenia na serwerze, wysyłając specjalnie spreparowane żądanie POST z parametrem 'm' do zasobu '/CLT/LOGINERRORFRM.ASP'.
- CVE-2025-59740Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_CAT.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59739Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_original.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59738Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_BET.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59737Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_LXA.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59736Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_DJO.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59735Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59774Średnie
AndSoft e-TMS w wersji v25.03 zawiera odzwierciedloną podatność Cross-Site Scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy URL z parametrami 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w ścieżce '/clt/LOGINFRM_VON.ASP'.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability reflected in AndSoft's e-TMS v25.03. This vulnerability allows an attacker to execute JavaScript code in the victim's browser by sending them a malicious URL. The relationship between parameter and assigned identifier is 'l, demo, demo2, TNTLOGIN, UO and SuppConn' parameters in '/clt/LOGINFRM_original.ASP'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS