CVE-2025-11909
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Shenzhen Ruiming Technology Streamax Crocus 1.3.40 funkcja queryLast w pliku /RepairRecord.do?Action=QueryLast jest podatna na iniekcję SQL przez manipulację argumentem orderField. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykorzystać iniekcję SQL do nieautoryzowanego dostępu do danych, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Należy zaktualizować Streamax Crocus do najnowszej wersji lub zastosować środki zaradcze, takie jak walidacja danych wejściowych.
Inne podatności w Streamax Crocus
Zobacz wszystkie- CVE-2025-11914Średnie
W produkcie Shenzhen Ruiming Technology Streamax Crocus 1.3.40 wykryto lukę w funkcji Download pliku /DeviceFileReport.do?Action=Download. Manipulacja argumentem FilePath prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został upubliczniony.
- CVE-2025-11913Średnie
W produkcie Shenzhen Ruiming Technology Streamax Crocus 1.3.40 wykryto lukę w funkcji Download pliku /Service.do?Action=Download. Manipulacja argumentem Path prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został upubliczniony.
- CVE-2025-11912Średnie
W Shenzhen Ruiming Technology Streamax Crocus 1.3.40 funkcja Query w pliku /DeviceState.do?Action=Query jest podatna na iniekcję SQL przez manipulację argumentem orderField. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11911Średnie
W Shenzhen Ruiming Technology Streamax Crocus 1.3.40 funkcja Query w pliku /DeviceFault.do?Action=Query jest podatna na iniekcję SQL przez manipulację argumentem sortField. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11910Średnie
W Shenzhen Ruiming Technology Streamax Crocus 1.3.40 funkcja Query w pliku /MemoryState.do?Action=Query jest podatna na iniekcję SQL przez manipulację argumentem orderField. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11908Średnie
W Shenzhen Ruiming Technology Streamax Crocus 1.3.40 funkcja uploadFile w pliku /FileDir.do?Action=Upload jest podatna na nieograniczone przesyłanie plików przez manipulację argumentem File. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Shenzhen Ruiming Technology Streamax Crocus 1.3.40. The impacted element is the function queryLast of the file /RepairRecord.do?Action=QueryLast. Executing manipulation of the argument orderField can lead to sql injection. The attack may be performed from remote. The exploit has been made available to the public and could be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS