CVE-2026-113404
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
WebITR firmy Uniong zawiera podatność niezabezpieczonej deserializacji. Uwierzytelniony zdalny atakujący może wykorzystać zaszyty na stałe klucz kryptograficzny do przygotowania i przesłania złośliwych danych serializowanych, a następnie wykonać dowolny kod na serwerze.
Ocena ryzyka
Uwierzytelniony atakujący może przejąć kontrolę nad serwerem aplikacji, co prowadzi do pełnej kompromitacji systemu i danych. Zaszyty klucz znacząco ułatwia przeprowadzenie ataku.
Rekomendacja
Zaktualizuj WebITR do wersji pozbawionej podatności i usuń zaszyty klucz kryptograficzny. Ogranicz dostęp do aplikacji oraz monitoruj podejrzane żądania deserializacji.
Inne podatności w WebITR
Zobacz wszystkie- CVE-2025-13771Średnie
WebITR firmy Uniong posiada podatność Arbitrary File Read, umożliwiającą uwierzytelnionym zdalnym atakującym wykorzystanie Relative Path Traversal do pobrania dowolnych plików systemowych.
- CVE-2025-13770Średnie
WebITR firmy Uniong zawiera podatność SQL Injection, umożliwiającą uwierzytelnionym zdalnym atakującym wstrzyknięcie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.
- CVE-2025-13769Średnie
WebITR firmy Uniong zawiera podatność SQL Injection, umożliwiającą uwierzytelnionym zdalnym atakującym wstrzyknięcie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.
- CVE-2025-13768Wysokie
WebITR opracowany przez Uniong ma podatność obejścia uwierzytelniania, pozwalającą uwierzytelnionym zdalnym atakującym na zalogowanie się do systemu jako dowolny użytkownik poprzez modyfikację określonego parametru. Atakujący musi najpierw uzyskać identyfikator użytkownika, aby wykorzystać tę podatność.
Oryginalny opis (angielski, źródło NVD)
WebITR developed by Uniong has a Insecure Deserialization vulnerability. Authenticated remote attackers can use the hard-coded cryptographic key to craft and submit malicious serialized data, thereby executing arbitrary code on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS