CVE-2025-13953

Krytyczne

Opublikowano: 10/12/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Podatność w metodzie uwierzytelniania w systemie GTT Tax Information System, związana z logowaniem przez Active Directory (LDAP). Uwierzytelnianie odbywa się przez lokalny WebSocket, ale aplikacja nie weryfikuje poprawnie autentyczności ani pochodzenia danych, co pozwala atakującemu z dostępem do lokalnej maszyny lub sieci wewnętrznej podszyć się pod legalny WebSocket i wstrzyknąć zmodyfikowane informacje.

Ocena ryzyka

Atakujący może uwierzytelnić się jako dowolny użytkownik domeny bez ważnych poświadczeń, co narusza poufność, integralność i dostępność aplikacji oraz danych.

Rekomendacja

Zastosuj poprawki dostarczone przez producenta systemu GTT Tax Information System, które weryfikują pochodzenie i integralność danych WebSocket.

Oryginalny opis (angielski, źródło NVD)

Bypass vulnerability in the authentication method in the GTT Tax Information System application, related to the Active Directory (LDAP) login method. Authentication is performed through a local WebSocket, but the web application does not properly validate the authenticity or origin of the data received, allowing an attacker with access to the local machine or internal network to impersonate the legitimate WebSocket and inject manipulated information. Exploiting this vulnerability could allow an attacker to authenticate as any user in the domain, without the need for valid credentials, compromising the confidentiality, integrity, and availability of the application and its data.