CVE-2023-25261
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
Podatność w produktach Stimuloft umożliwia zdalne wykonanie kodu. Wersje 2023.1.4 (Designer Desktop) oraz 2023.1.3 (Designer Web i Viewer Web) nie blokują dostępu do lokalnego systemu plików, co pozwala atakującemu na odczyt i zapis plików oraz katalogów. Atakujący może również przygotować raport zawierający zmienną przechowującą zebrane dane i wyrenderować go.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość kradzieży poufnych danych, modyfikacji plików systemowych oraz potencjalne przejęcie kontroli nad systemem poprzez zdalne wykonanie kodu.
Rekomendacja
Zaleca się natychmiastową aktualizację produktów Stimulsoft do najnowszych wersji, które usuwają tę podatność. Należy również ograniczyć dostęp do aplikacji tylko dla zaufanych użytkowników i monitorować nietypowe działania.
Oryginalny opis (angielski, źródło NVD)
Certain Stimulsoft GmbH products are affected by: Remote Code Execution. This affects Stimulsoft Designer (Desktop) 2023.1.4 and Stimulsoft Designer (Web) 2023.1.3 and Stimulsoft Viewer (Web) 2023.1.3. Access to the local file system is not prohibited in any way. Therefore, an attacker may include source code which reads or writes local directories and files. It is also possible for the attacker to prepare a report which has a variable that holds the gathered data and render it in the report.