CVE-2023-25263
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W programie Stimulsoft Designer (Desktop) w wersjach 2023.1.5 i 2023.1.4, po dekompilacji biblioteki Stimulsoft.report.dll, atakujący może odszyfrować dowolny connectionstring przechowywany w plikach .mrt, ponieważ używany jest statyczny sekret. Sekret ten jest identyczny we wszystkich testowanych wersjach i systemach operacyjnych.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia poufnych danych uwierzytelniających do baz danych, co może prowadzić do nieautoryzowanego dostępu do danych i dalszych ataków na infrastrukturę IT organizacji.
Rekomendacja
Należy natychmiast zaktualizować Stimulsoft Designer do najnowszej dostępnej wersji, która usuwa tę podatność, oraz zmienić wszystkie hasła do baz danych, które mogły być przechowywane w plikach .mrt.
Oryginalny opis (angielski, źródło NVD)
In Stimulsoft Designer (Desktop) 2023.1.5, and 2023.1.4, once an attacker decompiles the Stimulsoft.report.dll the attacker is able to decrypt any connectionstring stored in .mrt files since a static secret is used. The secret does not differ between the tested versions and different operating systems.