CVE-2025-11336
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W Four-Faith Water Conservancy Informatization Platform do wersji 2.2 wykryto lukę bezpieczeństwa. Manipulacja argumentem fileName w pliku /stAlarmConfigure/index.do/../../aloneReport/download.do;otherlogout.do prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność umożliwia zdalne odczytanie dowolnych plików z serwera, co może prowadzić do wycieku wrażliwych danych. Brak reakcji producenta zwiększa ryzyko wykorzystania.
Rekomendacja
Należy ograniczyć dostęp do platformy z niezaufanych sieci, wdrożyć walidację argumentu fileName po stronie serwera oraz reguły WAF blokujące path traversal. Zaleca się pilny kontakt z producentem w celu uzyskania poprawki.
Inne podatności w Four-Faith Water Conservancy Informatization Platform
Zobacz wszystkie- CVE-2025-11337Średnie
Wykryto podatność w Four-Faith Water Conservancy Informatization Platform do wersji 2.2. Manipulacja argumentem fileName w pliku /aloneReport/index.do/../../aloneReport/download.do;othersusrlogout.do prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11018Średnie
W Four-Faith Water Conservancy Informatization Platform 1.0 wykryto podatność w nieznanej funkcji pliku /sysRole/index.do/../../generalReport/download.do;usrlogout.do.do. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-10709Średnie
Wykryto podatność w Four-Faith Water Conservancy Informatization Platform 1.0. Dotyczy ona nieznanej funkcjonalności pliku /history/historyDownload.do;otheruserLogin.do;getfile. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Four-Faith Water Conservancy Informatization Platform up to 2.2. Affected by this issue is some unknown functionality of the file /stAlarmConfigure/index.do/../../aloneReport/download.do;otherlogout.do. Such manipulation of the argument fileName leads to path traversal. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS