CVE-2025-12249

ŚrednieCVSS 6.3

Opublikowano: 27/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

W Axosoft Scrum and Bug Tracking 22.1.1.11545 wykryto podatność. Dotyczy nieznanej funkcji komponentu Edit Ticket Page. Manipulacja argumentem Title prowadzi do wstrzyknięcia CSV. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być użyty. Dostawca został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe formuły do plików CSV, co może prowadzić do wykonania kodu lub wycieku danych, gdy plik zostanie otwarty w arkuszu kalkulacyjnym.

Rekomendacja

Zastosuj środki zaradcze, takie jak walidacja danych wejściowych i sanityzacja eksportowanych plików CSV; rozważ zmianę oprogramowania, ponieważ dostawca nie odpowiedział.

Inne podatności w Axosoft Scrum and Bug Tracking

CVE-2025-11279Średnie
Wykryto podatność w oprogramowaniu Axosoft Scrum and Bug Tracking 22.1.1.11545. Dotyczy ona nieznanego przetwarzania w komponencie Add Work Item Page, gdzie manipulacja argumentem Title prowadzi do wstrzyknięcia CSV. Atak może być przeprowadzony zdalnie, a exploit jest już publiczny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in Axosoft Scrum and Bug Tracking 22.1.1.11545. The impacted element is an unknown function of the component Edit Ticket Page. Performing manipulation of the argument Title results in csv injection. It is possible to initiate the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS