CVE-2025-14276
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W Ilevia EVE X1 Server do wersji 4.6.5.0.eden wykryto podatność w nieznanej funkcji pliku /ajax/php/leaf_search.php. Manipulacja argumentem line prowadzi do wstrzyknięcia poleceń, a atak można zainicjować zdalnie. Wymagany jest wysoki stopień złożoności ataku, a wykorzystanie jest uznawane za trudne, jednak exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu EVE X1 Server, co może prowadzić do pełnego przejęcia kontroli nad systemem. Ryzyko zwiększa publiczne ujawnienie exploita.
Rekomendacja
Zaktualizuj oprogramowanie Ilevia EVE X1 Server do wersji zawierającej poprawkę. Producent zaleca również zamknięcie portu na świat zewnętrzny, aby ograniczyć powierzchnię ataku.
Inne podatności w Ilevia EVE X1 Server
Zobacz wszystkie- CVE-2025-60739Krytyczne
W oprogramowaniu układowym Ilevia EVE X1 Server (wersja v4.7.18.0.eden i wcześniejsze) występuje podatność CSRF, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu przez komponent /bh_web_backend.
- CVE-2025-60738Krytyczne
W oprogramowaniu sprzętowym Ilevia EVE X1 Server w wersjach do v4.7.18.0.eden oraz Logic Version do v6.00 - 2025_07_21 występuje problem umożliwiający zdalnemu atakującemu wykonanie dowolnego kodu. Komponent ping.php nie wykonuje bezpiecznego filtrowania parametrów IP.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Ilevia EVE X1 Server up to 4.6.5.0.eden. Impacted is an unknown function of the file /ajax/php/leaf_search.php. This manipulation of the argument line causes command injection. The attack can be initiated remotely. A high degree of complexity is needed for the attack. The exploitability is considered difficult. The exploit has been publicly disclosed and may be utilized. Upgrading the affected component is recommended. The vendor confirms the issue and recommends: "We already know that issue and on most devices are already solved, also it’s not needed to open the port to outside world so we advised our customer to close it".
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS