CVE-2025-70519
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Komponent dziennika urządzenia w Fanvil x7a w wersji 2.6.0.1182 nie sanityzuje ani nie koduje prawidłowo odzwierciedlanych danych wprowadzanych przez użytkownika. Brak sanityzacji pozwala na wstrzyknięcie kodu HTML, który może posłużyć do wykonania złośliwego kodu JavaScript w dowolnej przeglądarce renderującej komponent dziennika.
Ocena ryzyka
Atakujący może wykonać złośliwy kod JavaScript w przeglądarce administratora przeglądającego logi urządzenia, co może prowadzić do kradzieży sesji lub innych działań w kontekście uwierzytelnionego użytkownika.
Rekomendacja
Zaktualizuj firmware Fanvil x7a do wersji nowszej niż 2.6.0.1182 po udostępnieniu poprawki oraz unikaj przeglądania logów urządzenia w niezaufanych przeglądarkach.
Inne podatności w Fanvil x7a firmware
Zobacz wszystkie- CVE-2025-70521Krytyczne
Narzędzie diagnostyczne ping w portalu zarządzania Fanvil x7a w wersji 2.6.0.1182 nie obsługuje bezpiecznie danych wprowadzanych przez użytkownika. Brak bezpiecznej walidacji danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć polecenia i uruchomić kod w systemie Android urządzenia.
- CVE-2025-70520Krytyczne
Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.
- CVE-2025-70516Krytyczne
Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.
- CVE-2025-70522Wysokie
Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.
- CVE-2025-70517Wysokie
Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.
- CVE-2025-70515Średnie
Komponent dziennika urządzenia w firmware Fanvil x7a w wersji 2.6.0.1182 nieprawidłowo oczyszcza lub koduje dane pochodzące od użytkownika. Brak sanityzacji umożliwia wstrzyknięcie kodu HTML, co pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce wyświetlającej komponent dziennika.
Oryginalny opis (angielski, źródło NVD)
The device log component of Fanvil x7a firmware version 2.6.0.1182 does not properly sanitize or encode reflected user supplied data. The lack of sanitization allows for the injection of HTML which can be used to execute malicious JavaScript code on any target browser which renders the device log component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS