CVE-2025-14601
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie poleceń systemu operacyjnego w vsDesk pozwala uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na wykonanie dowolnych poleceń systemowych z powodu niewystarczającej filtracji wejścia.
Ocena ryzyka
Ryzyko zakłócenia działania serwera WWW, ujawnienia wrażliwych danych lub pełnej kompromitacji serwera.
Rekomendacja
Zastosuj poprawkę od producenta (wersje 14.0101 i nowsze) i ogranicz uprawnienia administracyjne.
Inne podatności w vsDesk
Zobacz wszystkie- CVE-2026-2334Krytyczne
W vsDesk v14.0101 uwierzytelniony atakujący z uprawnieniami administratora może ominąć walidację plików po stronie klienta w komponencie "Import via CSV" z powodu braku walidacji po stronie serwera. Umożliwia to przesłanie dowolnego pliku, co może prowadzić do zdalnego wykonania kodu (RCE) w kontekście aplikacji webowej.
- CVE-2025-14600Krytyczne
vsDesk zawiera podatność na niebezpieczną deserializację, która pozwala zdalnemu atakującemu uzyskać nieautoryzowany dostęp administracyjny. Manipulując danymi konfiguracyjnymi aplikacji, atakujący może wymusić uwierzytelnienie systemu przeciwko dowolnemu serwerowi LDAP i utworzyć nowe konto administracyjne.
- CVE-2025-14602Średnie
Aplikacja generuje nazwy przesłanych plików w sposób słaby i przewidywalny, oparty na znaczniku czasu żądania. Zdalny atakujący może odgadnąć lub brutalnie wymusić nazwę pliku w krótkim czasie, uzyskać dostęp do przesłanych plików i ułatwić dalsze ataki.
- CVE-2025-14603Wysokie
Komponent aplikacji przetwarza parametry dostarczane przez użytkownika w niebezpieczny sposób, przekazując je do zapytań SQL. Może to umożliwić ślepą iniekcję SQL, potencjalnie ujawniając zawartość bazy danych lub powodując brak reakcji aplikacji. Poprawka dostępna jest od wersji 14.0101.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in vsDesk allows an authenticated attacker with administrative privileges to execute arbitrary operating system commands due to insufficient input filtering. An attacker can exploit this flaw to disrupt web server operations, expose sensitive data, or potentially achieve full server compromise. Apply patch from vendor https://vsdesk.ru/ . Versions 14.0101 and on have the patch.