CVE-2025-71457
KrytyczneCVSS 9.8Streszczenie
vtenext 25.02 przed 25.02.1 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zmienić hasło dowolnego konta przez hub/rpwd.php bez weryfikacji tokenu. Atakujący znający prawidłową nazwę użytkownika może wysłać action=change_password do RecoverPwd::displayChangePwd() i zalogować się jako administrator bez uwierzytelniania dwuskładnikowego.
Ocena ryzyka
Możliwe jest przejęcie kont administracyjnych bez znajomości hasła, co prowadzi do pełnej kompromitacji systemu i dostępu do danych biznesowych.
Rekomendacja
Zaktualizuj vtenext do wersji 25.02.1 lub nowszej, a do czasu aktualizacji ogranicz dostęp do hub/rpwd.php i włącz uwierzytelnianie dwuskładnikowe dla wszystkich kont administracyjnych.
Inne podatności w vtenext
Zobacz wszystkie- CVE-2025-71456Wysokie
vtenext przed wersją 25.02.2 zawiera podatność na wstrzykiwanie SQL, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wstrzyknąć SQL poprzez podanie spreparowanego parametru fieldname do modules/Fax/EditView.php. Atakujący mogą odczytać dowolną zawartość bazy danych, w tym tokeny resetowania hasła przechowywane w vte_userauthtoken, aby przejąć konta innych użytkowników.
- CVE-2025-71455Średnie
vtenext przed wersją 25.02.2 zawiera podatność ujawnienia identyfikatora sesji, pozwalającą atakującym odczytać wartość PHPSESSID zwracaną przez endpoint usługi Touch. Atakujący mogący uruchomić skrypt w origin vtenext (np. przez XSS) może obejść flagę HttpOnly i przejąć uwierzytelnione sesje.
- CVE-2025-71454Średnie
vtenext przed wersją 25.02.2 zawiera obejście ochrony przed CSRF, ponieważ funkcja csrf_check() w include/utils/VteCsrf.php pomija walidację __csrf_token dla żądań innych niż POST. Atakujący może nakłonić zalogowanego użytkownika do otwarcia spreparowanego linku wysyłającego żądania GET zmieniające stan, które handlery odczytują z $_REQUEST, wykonując akcje w imieniu użytkownika.
- CVE-2025-71453Średnie
vtenext przed wersją 25.02.2 zawiera podatność reflected XSS w modules/Home/HomeWidgetBlockList.php, która odzwierciedla nieoczyszczone klucze widgetId z parametru JSON widgetInfoList. Atakujący może nakłonić zalogowanego użytkownika do wysłania spreparowanego żądania POST z HTML w kluczach widgetId, wykonując JavaScript w sesji vtenext ofiary.
Oryginalny opis (angielski, źródło NVD)
vtenext 25.02 before 25.02.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to change any account password via hub/rpwd.php without token verification. Attackers knowing a valid user_name can send action=change_password to RecoverPwd::displayChangePwd() and log in as administrators lacking two-factor authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS