CVE-2025-13829

WysokieCVSS 8.6

Opublikowano: 01/12/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Podatność nieprawidłowej autoryzacji w Data Illusion Zumbrunn NGSurvey umożliwia każdemu zalogowanemu użytkownikowi uzyskanie prywatnych informacji innych użytkowników. Krytyczne informacje obejmują: APIKEY (sesja użytkownika na 1 rok), RefreshToken (sesja użytkownika na 10 minut), hasła zahaszowane bcrypt, adres IP, e-mail i pełne imię i nazwisko.

Ocena ryzyka

Ryzyko obejmuje naruszenie prywatności użytkowników i potencjalną kradzież tożsamości, ponieważ atakujący może uzyskać dane uwierzytelniające i dane osobowe.

Rekomendacja

Zaleca się natychmiastowe zastosowanie poprawek od producenta. Należy również ograniczyć dostęp do aplikacji i monitorować aktywność użytkowników pod kątem nieautoryzowanych prób dostępu.

Inne podatności w NGSurvey

CVE-2025-15479Średnie
W Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 występuje podatność na przechowywany XSS (CWE-79) w funkcjach tworzenia i administrowania ankietami. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia lub edycji ankiet mogą wykonywać dowolny JavaScript w przeglądarkach innych użytkowników, kraść dane sesji i wykonywać nieautoryzowane działania.

Oryginalny opis (angielski, źródło NVD)

Incorrect Authorization vulnerability in Data Illusion Zumbrunn NGSurvey allows any logged-in user to obtain the private information of any other user. Critical information retrieved: * APIKEY (1 year user Session) * RefreshToken (10 minutes user Session) * Password hashed with bcrypt * User IP * Email * Full Name

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS