CVE-2025-71260
HighCVSS 8.8Exploitation Probability (EPSS)
Very high risk98th percentile - higher than 98% of all known CVEs
Summary
Wersje BMC FootPrints ITSM od 20.20.02 do 20.24.01.001 zawierają podatność na deserializację niezaufanych danych w obsłudze VIEWSTATE w serwletach ASP.NET, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu. Atakujący mogą dostarczyć spreparowane obiekty serializowane do parametru VIEWSTATE, co prowadzi do zdalnego wykonania kodu i pełnego kompromitowania aplikacji.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym przejęcie kontroli nad aplikacją i potencjalnie dostęp do wrażliwych danych. W przypadku wykorzystania tej luki, skutki mogą być katastrofalne dla bezpieczeństwa systemu.
Recommendation
Zaleca się natychmiastowe zastosowanie dostępnych poprawek: 20.20.02, 20.20.03.002, 20.21.01.001, 20.21.02.002, 20.22.01, 20.22.01.001, 20.23.01, 20.23.01.002 oraz 20.24.01, aby zniwelować ryzyko związane z tą podatnością.
Original NVD description (English source)
BMC FootPrints ITSM versions 20.20.02 through 20.24.01.001 contain a deserialization of untrusted data vulnerability in the ASP.NET servlet's VIEWSTATE handling that allows authenticated attackers to execute arbitrary code. Attackers can supply crafted serialized objects to the VIEWSTATE parameter to achieve remote code execution and fully compromise the application. The following hotfixes remediate the vulnerability: 20.20.02, 20.20.03.002, 20.21.01.001, 20.21.02.002, 20.22.01, 20.22.01.001, 20.23.01, 20.23.01.002, and 20.24.01.