CVE-2026-13510
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W bibliotece SimStudioAI sim do wersji 0.6.92 wykryto podatność w komponencie obsługi ochrony hasłem (apps/sim/lib/core/security/deployment.ts). Manipulacja prowadzi do użycia słabego skrótu (hasha), co umożliwia atak zdalny o wysokiej złożoności. Exploit został opublikowany, a naprawa oczekuje na akceptację.
Ocena ryzyka
Organizacja narażona jest na ryzyko zdalnego przejęcia kont lub dostępu do danych poprzez złamanie słabego hasha haseł. Atak jest trudny, ale publiczny exploit zwiększa prawdopodobieństwo wykorzystania.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę SimStudioAI sim do wersji powyżej 0.6.92 po wydaniu poprawki. Do czasu jej udostępnienia zaleca się wdrożenie dodatkowych mechanizmów ochrony haseł, np. silniejszego hashowania.
Inne podatności w SimStudioAI sim
Zobacz wszystkie- CVE-2025-10097Średnie
Zidentyfikowano podatność w SimStudioAI sim do wersji 1.0.0. Dotyczy ona nieznanej funkcji w pliku apps/sim/app/api/function/execute/route.ts. Manipulacja argumentem code prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie.
- CVE-2025-9800Średnie
W oprogramowaniu SimStudioAI sim (do commita ed9b9ad83f1a7c61f4392787fb51837d34eeb0af) wykryto podatność w funkcji Import w pliku apps/sim/app/api/files/upload/route.ts (komponent HTML File Parser). Manipulacja argumentem File może prowadzić do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Produkt działa w modelu ciągłego wydawania, więc brak szczegółów wersji. Poprawka nosi nazwę 45372aece5e05e04b417442417416a52e90ba174.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in SimStudioAI sim up to 0.6.92. Affected by this vulnerability is an unknown functionality in the library apps/sim/lib/core/security/deployment.ts of the component Password Protection Handler. Performing a manipulation results in use of weak hash. The attack is possible to be carried out remotely. The attack's complexity is rated as high. The exploitation appears to be difficult. The exploit has been made public and could be used. The pull request to fix this issue awaits acceptance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS