CVE-2025-11337
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Wykryto podatność w Four-Faith Water Conservancy Informatization Platform do wersji 2.2. Manipulacja argumentem fileName w pliku /aloneReport/index.do/../../aloneReport/download.do;othersusrlogout.do prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Podatność pozwala na zdalne odczytanie dowolnych plików z serwera, co może skutkować wyciekiem danych konfiguracyjnych lub innych wrażliwych informacji. Brak odpowiedzi producenta utrudnia uzyskanie oficjalnej poprawki.
Rekomendacja
Należy natychmiast ograniczyć dostęp do interfejsu platformy z niezaufanych sieci, zweryfikować poprawność argumentu fileName po stronie serwera i rozważyć wdrożenie reguł WAF blokujących próby path traversal. Zaleca się kontakt z producentem w celu uzyskania łatki.
Inne podatności w Four-Faith Water Conservancy Informatization Platform
Zobacz wszystkie- CVE-2025-11336Średnie
W Four-Faith Water Conservancy Informatization Platform do wersji 2.2 wykryto lukę bezpieczeństwa. Manipulacja argumentem fileName w pliku /stAlarmConfigure/index.do/../../aloneReport/download.do;otherlogout.do prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11018Średnie
W Four-Faith Water Conservancy Informatization Platform 1.0 wykryto podatność w nieznanej funkcji pliku /sysRole/index.do/../../generalReport/download.do;usrlogout.do.do. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-10709Średnie
Wykryto podatność w Four-Faith Water Conservancy Informatization Platform 1.0. Dotyczy ona nieznanej funkcjonalności pliku /history/historyDownload.do;otheruserLogin.do;getfile. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Four-Faith Water Conservancy Informatization Platform up to 2.2. This affects an unknown part of the file /aloneReport/index.do/../../aloneReport/download.do;othersusrlogout.do. Performing manipulation of the argument fileName results in path traversal. It is possible to initiate the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS