CVE-2023-36255

WysokieCVSS 8.8

Opublikowano: 03/08/2023(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

57.36%

Percentyl 99 - wyżej niż 99% wszystkich znanych CVE

Streszczenie

Podatność w Eramba Enterprise i Community edition w wersji 3.19.1 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez manipulację parametrem 'path' w adresie URL.

Ocena ryzyka

Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zakłócić działanie systemu, co stanowi poważne zagrożenie dla poufności, integralności i dostępności.

Rekomendacja

Należy natychmiast zaktualizować Eramba do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć dostęp do aplikacji tylko dla zaufanych sieci.

Inne podatności w Eramba

CVE-2025-55462Średnie
W Eramba Community i Enterprise w wersji 3.26.0 wykryto błędną konfigurację CORS, która pozwala na odbicie nagłówka Origin w odpowiedzi Access-Control-Allow-Origin z ustawioną flagą Access-Control-Allow-Credentials: true. Umożliwia to złośliwym stronom trzecim wykonywanie uwierzytelnionych żądań międzyoriginowych do API Eramba, w tym do endpointów /system-api/login i /system-api/user/me, co prowadzi do wycieku wrażliwych danych sesji użytkownika.

Oryginalny opis (angielski, źródło NVD)

An issue in Eramba Limited Eramba Enterprise and Community edition v.3.19.1 allows a remote attacker to execute arbitrary code via the path parameter in the URL.