CVE-2025-70516
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.
Ocena ryzyka
Nieuwierzytelniona osoba może uzyskać dostęp do poufnych informacji z urządzenia, w tym logów operacyjnych, co ułatwia dalsze ataki i narusza poufność danych.
Rekomendacja
Zaktualizuj firmware Fanvil x7a do wersji nowszej niż 2.6.0.1182 po udostępnieniu poprawki oraz ogranicz dostęp sieciowy do interfejsu websocket urządzenia.
Inne podatności w Fanvil x7a firmware
Zobacz wszystkie- CVE-2025-70521Krytyczne
Narzędzie diagnostyczne ping w portalu zarządzania Fanvil x7a w wersji 2.6.0.1182 nie obsługuje bezpiecznie danych wprowadzanych przez użytkownika. Brak bezpiecznej walidacji danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć polecenia i uruchomić kod w systemie Android urządzenia.
- CVE-2025-70520Krytyczne
Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.
- CVE-2025-70522Wysokie
Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.
- CVE-2025-70519Średnie
Komponent dziennika urządzenia w Fanvil x7a w wersji 2.6.0.1182 nie sanityzuje ani nie koduje prawidłowo odzwierciedlanych danych wprowadzanych przez użytkownika. Brak sanityzacji pozwala na wstrzyknięcie kodu HTML, który może posłużyć do wykonania złośliwego kodu JavaScript w dowolnej przeglądarce renderującej komponent dziennika.
- CVE-2025-70517Wysokie
Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.
- CVE-2025-70515Średnie
Komponent dziennika urządzenia w firmware Fanvil x7a w wersji 2.6.0.1182 nieprawidłowo oczyszcza lub koduje dane pochodzące od użytkownika. Brak sanityzacji umożliwia wstrzyknięcie kodu HTML, co pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce wyświetlającej komponent dziennika.
Oryginalny opis (angielski, źródło NVD)
The websocket handler of Fanvil x7a firmware version 2.6.0.1182 does not enforce proper authentication restrictions against sessionless users. The lack of restrictions grants anyone the ability to view any device resources such as operational logs or perform diagnostic requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS