CVE-2023-25260
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność Local File Inclusion (LFI) w Stimulsoft Designer (Web) 2023.1.3 umożliwia atakującemu odczyt dowolnych plików z serwera. Luka wynika z nieprawidłowej walidacji ścieżek plików w aplikacji.
Ocena ryzyka
Ryzyko obejmuje wyciek poufnych danych, takich jak pliki konfiguracyjne, hasła czy kod źródłowy, co może prowadzić do dalszej eskalacji ataku.
Rekomendacja
Zaleca się natychmiastową aktualizację Stimulsoft Designer do najnowszej wersji oraz wdrożenie mechanizmów walidacji ścieżek plików po stronie serwera.
Inne podatności w Stimulsoft Designer
Zobacz wszystkie- CVE-2023-25261Krytyczne
Podatność w produktach Stimuloft umożliwia zdalne wykonanie kodu. Wersje 2023.1.4 (Designer Desktop) oraz 2023.1.3 (Designer Web i Viewer Web) nie blokują dostępu do lokalnego systemu plików, co pozwala atakującemu na odczyt i zapis plików oraz katalogów. Atakujący może również przygotować raport zawierający zmienną przechowującą zebrane dane i wyrenderować go.
- CVE-2023-25262Wysokie
Stimulsoft Designer (Web) 2023.1.3 jest podatny na SSRF. Serwer wykonuje żądania do zewnętrznych źródeł danych, co może być wykorzystane do wycieku danych z wewnętrznej sieci.
- CVE-2023-25263Średnie
W programie Stimulsoft Designer (Desktop) w wersjach 2023.1.5 i 2023.1.4, po dekompilacji biblioteki Stimulsoft.report.dll, atakujący może odszyfrować dowolny connectionstring przechowywany w plikach .mrt, ponieważ używany jest statyczny sekret. Sekret ten jest identyczny we wszystkich testowanych wersjach i systemach operacyjnych.
Oryginalny opis (angielski, źródło NVD)
Stimulsoft Designer (Web) 2023.1.3 is vulnerable to Local File Inclusion.