CVE-2025-14198
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W Verysync 微力同步 2.21.3 wykryto podatność w module administracji webowej, w pliku /safebrowsing/clientreport/download. Manipulacja żądaniem prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać publiczny exploit do ujawnienia informacji z systemu. Brak reakcji producenta oznacza brak oficjalnej poprawki.
Rekomendacja
Ogranicz dostęp do modułu administracji webowej Verysync z niezaufanych sieci i monitoruj nietypowe żądania do /safebrowsing/clientreport/download. Rozważ wdrożenie reguł WAF lub odizolowanie usługi do czasu wydania poprawki.
Inne podatności w Verysync
Zobacz wszystkie- CVE-2025-14199Średnie
W Verysync 微力同步 do wersji 2.21.3 wykryto podatność w module Web Administration Module, dotyczącą pliku /rest/f/api/resources/f96956469e7be39d/tmp/text.txt?override=false. Manipulacja argumentami może prowadzić do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie.
- CVE-2025-14197Średnie
Wykryto lukę w zabezpieczeniach Verysync 微力同步 do 2.21.3. Podatny element to nieznana funkcja pliku /rest/f/api/resources/f96956469e7be39d komponentu Web Administration Module. Manipulacja prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Verysync 微力同步 2.21.3. This affects an unknown function of the file /safebrowsing/clientreport/download?key=dummytoken of the component Web Administration Module. Performing manipulation results in information disclosure. The attack is possible to be carried out remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS