CVE-2025-14406
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Soda PDF Desktop zawiera podatność lokalnego podniesienia uprawnień związaną z niekontrolowanym elementem ścieżki wyszukiwania. Aplikacja ładuje plik konfiguracyjny OpenSSL z niezabezpieczonej lokalizacji, co pozwala atakującemu z niskimi uprawnieniami na wykonanie dowolnego kodu w kontekście SYSTEM.
Ocena ryzyka
Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach, ale następnie może eskalować do uprawnień SYSTEM, przejmując kontrolę nad systemem. Wymaga to jednak interakcji użytkownika lub wcześniejszego dostępu do systemu.
Rekomendacja
Zaktualizuj Soda PDF Desktop do najnowszej wersji, która naprawia problem. Dodatkowo ogranicz uprawnienia użytkowników i monitoruj nietypowe zachowania procesów związanych z Soda PDF.
Inne podatności w Soda PDF Desktop
Zobacz wszystkie- CVE-2025-14415Wysokie
Podatność w Soda PDF Desktop pozwala zdalnym atakującym na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Luka wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu w akcji Launch. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku.
- CVE-2025-14414Wysokie
Podatność w Soda PDF Desktop pozwala na zdalne wykonanie kodu podczas obsługi plików Word. Problem wynika z braku ostrzeżenia użytkownika przed wykonaniem niebezpiecznego skryptu. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub odwiedzenie strony).
- CVE-2025-14413Wysokie
Podatność w Soda PDF Desktop podczas parsowania plików CBZ polega na braku walidacji ścieżki dostarczonej przez użytkownika, co umożliwia traversal katalogów. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony). Może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika.
- CVE-2025-14412Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku ostrzeżenia przed uruchomieniem niebezpiecznego skryptu podczas obsługi plików XLS.
- CVE-2025-14411Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14410Średnie
W Soda PDF Desktop występuje luka out-of-bounds read podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
- CVE-2025-14409Wysokie
Podatność w Soda PDF Desktop pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku) i wynika z braku odpowiedniej walidacji danych dostarczonych przez użytkownika podczas parsowania plików PDF, co prowadzi do zapisu poza granicami bufora.
- CVE-2025-14408Niskie
Podatność w Soda PDF Desktop podczas parsowania plików PDF pozwala na odczyt poza granicami bufora i ujawnienie informacji. Wymaga interakcji użytkownika (odwiedzenie złośliwej strony lub otwarcie złośliwego pliku). Może być wykorzystana w połączeniu z innymi podatnościami do wykonania kodu.
- CVE-2025-14407Średnie
W Soda PDF Desktop występuje luka memory corruption podczas parsowania plików PDF z powodu braku właściwej walidacji danych dostarczonych przez użytkownika. Atakujący zdalny może ujawnić poufne informacje, a w połączeniu z innymi lukami wykonać dowolny kod w kontekście bieżącego procesu; wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).
Oryginalny opis (angielski, źródło NVD)
Soda PDF Desktop Uncontrolled Search Path Element Local Privilege Escalation Vulnerability. This vulnerability allows local attackers to escalate privileges on affected installations of Soda PDF Desktop. An attacker must first obtain the ability to execute low-privileged code on the target system in order to exploit this vulnerability. The specific flaw exists within the configuration of OpenSSL. The product loads an OpenSSL configuration file from an unsecured location. An attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of SYSTEM. Was ZDI-CAN-25793.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS