CVE-2025-10235
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Scada-LTS do wersji 2.7.8.1 wykryto podatność cross-site scripting (XSS) w pliku /reports.shtm, w komponencie Reports Module. Manipulacja argumentem Colour prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. W systemach SCADA może to mieć poważne konsekwencje dla bezpieczeństwa operacyjnego.
Rekomendacja
Wdróż walidację i sanityzację argumentu Colour oraz rozważ użycie WAF. Monitoruj dostępne aktualizacje i rozważ alternatywne rozwiązania, jeśli poprawka nie zostanie wydana.
Inne podatności w Scada-LTS
Zobacz wszystkie- CVE-2025-13791Średnie
W Scada-LTS do wersji 2.7.8.1 wykryto podatność w funkcji Common.getHomeDir pliku br/org/scadabr/vo/exporter/ZIPProjectManager.java komponentu Project Import. Manipulacja prowadzi do przejścia ścieżki. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-13790Średnie
Wykryto podatność w Scada-LTS do wersji 2.7.8.1. Nieznana funkcja jest podatna na atak typu Cross-Site Request Forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10234Niskie
W Scada-LTS do wersji 2.7.8.1 wykryto podatność cross-site scripting (XSS) w pliku /data_point_edit.shtm, w komponencie Data Point Edit Module. Manipulacja właściwościami Text Renderer prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Scada-LTS up to 2.7.8.1. This issue affects some unknown processing of the file /reports.shtm of the component Reports Module. This manipulation of the argument Colour causes cross site scripting. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS