CVE-2025-13147
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Progress MOVEit Transfer występuje podatność Server-Side Request Forgery (SSRF). Problem dotyczy wersji przed 2024.1.8 oraz wersji od 2025.0.0 przed 2025.0.4.
Ocena ryzyka
Atakujący może wymusić na serwerze wykonanie żądań do zasobów wewnętrznych, co może prowadzić do ujawnienia informacji lub interakcji z usługami wewnętrznymi.
Rekomendacja
Zaktualizuj MOVEit Transfer do wersji 2024.1.8 lub 2025.0.4 (lub nowszej), aby usunąć podatność.
Inne podatności w MOVEit Transfer
Zobacz wszystkie- CVE-2023-36934Krytyczne
W aplikacji webowej MOVEit Transfer przed wersją 2020.1.11 (12.1.11), 2021.0.9 (13.0.9), 2021.1.7 (13.1.7), 2022.0.7 (14.0.7), 2022.1.8 (14.1.8) oraz 2023.0.4 (15.0.4) zidentyfikowano podatność na wstrzykiwanie SQL. Atakujący mógłby wykorzystać tę podatność do nieautoryzowanego dostępu do bazy danych MOVEit Transfer.
- CVE-2023-36933Wysokie
W MOVEit Transfer przed wersją 2021.0.9, 2021.1.7, 2022.0.7, 2022.1.8 oraz 2023.0.4 istnieje możliwość, że atakujący może wywołać metodę, która skutkuje nieobsłużonym wyjątkiem. Wywołanie tego procesu może spowodować niespodziewane zakończenie działania aplikacji MOVEit Transfer.
- CVE-2023-36932Wysokie
W aplikacji webowej MOVEit Transfer przed wersją 2020.1.11 (12.1.11), 2021.0.9 (13.0.9), 2021.1.7 (13.1.7), 2022.0.7 (14.0.7), 2022.1.8 (14.1.8) oraz 2023.0.4 (15.0.4) zidentyfikowano wiele podatności na wstrzykiwanie SQL. Umożliwia to uwierzytelnionemu atakującemu uzyskanie nieautoryzowanego dostępu do bazy danych MOVEit Transfer.
- CVE-2023-35708Krytyczne
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.8 zidentyfikowano podatność na wstrzykiwanie SQL, która może umożliwić nieautoryzowanemu atakującemu dostęp do bazy danych MOVEit Transfer. Atakujący może przesłać spreparowany ładunek do punktu końcowego aplikacji MOVEit Transfer, co może prowadzić do modyfikacji i ujawnienia zawartości bazy danych MOVEit.
- CVE-2023-34362KrytyczneAktywnie exploitowane
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.6 zidentyfikowano podatność na wstrzykiwanie SQL, która może umożliwić nieautoryzowanemu atakującemu dostęp do bazy danych MOVEit Transfer. Atakujący może uzyskać informacje o strukturze i zawartości bazy danych oraz wykonywać polecenia SQL, które mogą zmieniać lub usuwać elementy bazy danych.
- CVE-2026-15968Wysokie
Podatność typu cross-site scripting (XSS) w Progress MOVEit Transfer wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji przed 2025.1.5 oraz od 2026.0.0 do 2026.0.3.
- CVE-2026-15967Wysokie
Progress MOVEit Transfer cierpi na niedostateczne wygasanie sesji. Atakujący może wykorzystać nieodświeżoną sesję do nieautoryzowanego dostępu.
- CVE-2026-15966Wysokie
Progress MOVEit Transfer ma zbyt liberalną politykę bezpieczeństwa między domenami, umożliwiającą komunikację z niezaufanymi domenami. Może to prowadzić do ataków typu cross-domain.
- CVE-2026-10697Wysokie
Progress MOVEit Transfer zawiera podatność nieprawidłowego uwierzytelniania. Atakujący może ominąć mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp.
- CVE-2026-8651Niskie
Ograniczone obejście uwierzytelniania przez fałszowanie w module HTTPS Progress MOVEit Transfer. Podatność dotyczy wersji przed 2025.0.7 oraz od 2025.1.0 do 2025.1.3.
Oryginalny opis (angielski, źródło NVD)
Server-Side Request Forgery (SSRF) vulnerability in Progress MOVEit Transfer.This issue affects MOVEit Transfer: before 2024.1.8, from 2025.0.0 before 2025.0.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS