CVE-2025-11925
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W jednym z API produktów BLU-IC2 i BLU-IC4 do wersji 1.19.5 występuje nieprawidłowy nagłówek Content-Type (text/html zamiast application/json). Może to umożliwić wstrzyknięcie HTML/JavaScript do odpowiedzi.
Ocena ryzyka
Możliwe jest wykonanie wstrzykniętego kodu JavaScript w przeglądarce użytkownika lub klienta API, co może prowadzić do kradzieży danych sesji. Wpływa to na poufność i integralność odpowiedzi.
Rekomendacja
Zaktualizować BLU-IC2 i BLU-IC4 do wersji nowszej niż 1.19.5. Zapewnić, aby API zwracały poprawny nagłówek Content-Type application/json oraz wdrożyć kodowanie wyjściowe.
Inne podatności w BLU-IC2/BLU-IC4
Zobacz wszystkie- CVE-2025-12603Krytyczne
Plik /etc/timezone może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji strefy czasowej. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.
- CVE-2025-12602Krytyczne
Plik /etc/avahi/services/z9.service może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji usługi Avahi. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.
- CVE-2025-12600Krytyczne
Nieprawidłowe działanie interfejsu Web UI podczas ustawiania nieoczekiwanego locale przez API. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.
- CVE-2025-12599Krytyczne
Wiele urządzeń BLU-IC2 i BLU-IC4 (do wersji 1.19.5) współdzieli te same sekrety dla usługi SDKSocket (TCP/5000).
- CVE-2025-12554Krytyczne
Brakujące nagłówki bezpieczeństwa. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.
- CVE-2025-12422Krytyczne
Podatna funkcja aktualizacji w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia dowolny zapis plików, co może prowadzić do uzyskania uprawnień superużytkownika na urządzeniu.
- CVE-2025-12275Krytyczne
Podatność w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia manipulację plikiem konfiguracyjnym poczty oraz wykonanie poleceń. Może to prowadzić do przejęcia kontroli nad urządzeniem.
- CVE-2025-12218Krytyczne
W urządzeniach występują słabe domyślne poświadczenia, które mogą zostać łatwo odgadnięte lub złamane. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.
- CVE-2025-12176Krytyczne
W systemie tworzone są nieudokumentowane konta administracyjne, które mają ułatwiać dostęp aplikacjom działającym na urządzeniu. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.
- CVE-2025-12104Krytyczne
Przestarzałe i podatne zależności interfejsu użytkownika mogą potencjalnie prowadzić do wykorzystania. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.
Oryginalny opis (angielski, źródło NVD)
Incorrect Content-Type header in one of the APIs (`text/html` instead of `application/json`) replies may potentially allow injection of HTML/JavaScript into reply.This issue affects BLU-IC2: through 1.19.5; BLU-IC4: through 1.19.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS