CVE-2025-10709
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Wykryto podatność w Four-Faith Water Conservancy Informatization Platform 1.0. Dotyczy ona nieznanej funkcjonalności pliku /history/historyDownload.do;otheruserLogin.do;getfile. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do dostępu do plików poza zamierzonym katalogiem, co może prowadzić do wycieku poufnych danych.
Rekomendacja
Ponieważ producent nie odpowiedział, zaleca się podjęcie środków zaradczych, takich jak ograniczenie dostępu do platformy z niezaufanych sieci, monitorowanie nietypowych żądań i rozważenie alternatywnych rozwiązań.
Inne podatności w Four-Faith Water Conservancy Informatization Platform
Zobacz wszystkie- CVE-2025-11337Średnie
Wykryto podatność w Four-Faith Water Conservancy Informatization Platform do wersji 2.2. Manipulacja argumentem fileName w pliku /aloneReport/index.do/../../aloneReport/download.do;othersusrlogout.do prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11336Średnie
W Four-Faith Water Conservancy Informatization Platform do wersji 2.2 wykryto lukę bezpieczeństwa. Manipulacja argumentem fileName w pliku /stAlarmConfigure/index.do/../../aloneReport/download.do;otherlogout.do prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11018Średnie
W Four-Faith Water Conservancy Informatization Platform 1.0 wykryto podatność w nieznanej funkcji pliku /sysRole/index.do/../../generalReport/download.do;usrlogout.do.do. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Four-Faith Water Conservancy Informatization Platform 1.0. Affected by this issue is some unknown functionality of the file /history/historyDownload.do;otheruserLogin.do;getfile. The manipulation of the argument fileName results in path traversal. The attack can be executed remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS