CVE-2025-67807
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Mechanizm logowania w Sage DPW 2025_06_004 zwraca różne odpowiedzi dla istniejących i nieistniejących nazw użytkowników, co umożliwia enumerację kont w wersjach przed 2021_06_000. W nowszych wersjach administratorzy on-premise mogą przełączyć to zachowanie.
Ocena ryzyka
Atakujący może ustalić listę prawidłowych nazw użytkowników, co ułatwia późniejsze ataki na hasła (brute force, credential stuffing).
Rekomendacja
Zaktualizuj Sage DPW do wersji co najmniej 2021_06_000 lub nowszej i włącz opcję ujednolicającą odpowiedzi logowania dla administratorów on-premise.
Inne podatności w Sage DPW
Zobacz wszystkie- CVE-2025-67806Niskie
Mechanizm logowania w Sage DPW 2021_06_004 zwraca różne odpowiedzi dla istniejących i nieistniejących nazw użytkowników, co umożliwia enumerację kont w wersjach przed 2021_06_000. W nowszych wersjach administratorzy on-premise mogą przełączyć to zachowanie.
- CVE-2025-67805Średnie
W Sage DPW 2025_06_004 konfiguracja inna niż domyślna umożliwia nieuwierzytelniony dostęp do punktów końcowych diagnostycznych w funkcji Database Monitor, ujawniając wrażliwe informacje, takie jak hashe i nazwy tabel. Funkcja jest domyślnie wyłączona i niedostępna w Sage DPW Cloud, a w wersji 2025_06_003 została wymuszenie wyłączona.
Oryginalny opis (angielski, źródło NVD)
The login mechanism of Sage DPW 2025_06_004 displays distinct responses for valid and invalid usernames, allowing enumeration of existing accounts in versions before 2021_06_000. On-premise administrators can toggle this behaviour in newer versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS