CVE-2025-13790
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wykryto podatność w Scada-LTS do wersji 2.7.8.1. Nieznana funkcja jest podatna na atak typu Cross-Site Request Forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność CSRF może umożliwić atakującemu wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika, co może prowadzić do naruszenia integralności danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do wersji, która usuwa tę podatność, oraz wdrożenie mechanizmów ochrony CSRF, takich jak tokeny anty-CSRF.
Inne podatności w Scada-LTS
Zobacz wszystkie- CVE-2025-13791Średnie
W Scada-LTS do wersji 2.7.8.1 wykryto podatność w funkcji Common.getHomeDir pliku br/org/scadabr/vo/exporter/ZIPProjectManager.java komponentu Project Import. Manipulacja prowadzi do przejścia ścieżki. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-10235Niskie
W Scada-LTS do wersji 2.7.8.1 wykryto podatność cross-site scripting (XSS) w pliku /reports.shtm, w komponencie Reports Module. Manipulacja argumentem Colour prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-10234Niskie
W Scada-LTS do wersji 2.7.8.1 wykryto podatność cross-site scripting (XSS) w pliku /data_point_edit.shtm, w komponencie Data Point Edit Module. Manipulacja właściwościami Text Renderer prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Scada-LTS up to 2.7.8.1. This impacts an unknown function. This manipulation causes cross-site request forgery. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS