CVE-2025-14602
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Aplikacja generuje nazwy przesłanych plików w sposób słaby i przewidywalny, oparty na znaczniku czasu żądania. Zdalny atakujący może odgadnąć lub brutalnie wymusić nazwę pliku w krótkim czasie, uzyskać dostęp do przesłanych plików i ułatwić dalsze ataki.
Ocena ryzyka
Nieautoryzowany dostęp do przesłanych plików może prowadzić do wycieku danych lub umożliwić atakującemu przeprowadzenie kolejnych ataków na system.
Rekomendacja
Zastosuj poprawkę od producenta (https://vsdesk.ru/) — wersje 14.0101 i nowsze zawierają poprawkę.
Inne podatności w vsdesk
Zobacz wszystkie- CVE-2026-2334Krytyczne
W vsDesk v14.0101 uwierzytelniony atakujący z uprawnieniami administratora może ominąć walidację plików po stronie klienta w komponencie "Import via CSV" z powodu braku walidacji po stronie serwera. Umożliwia to przesłanie dowolnego pliku, co może prowadzić do zdalnego wykonania kodu (RCE) w kontekście aplikacji webowej.
- CVE-2025-14600Krytyczne
vsDesk zawiera podatność na niebezpieczną deserializację, która pozwala zdalnemu atakującemu uzyskać nieautoryzowany dostęp administracyjny. Manipulując danymi konfiguracyjnymi aplikacji, atakujący może wymusić uwierzytelnienie systemu przeciwko dowolnemu serwerowi LDAP i utworzyć nowe konto administracyjne.
- CVE-2025-14601Wysokie
Podatność na wstrzyknięcie poleceń systemu operacyjnego w vsDesk pozwala uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na wykonanie dowolnych poleceń systemowych z powodu niewystarczającej filtracji wejścia.
- CVE-2025-14603Wysokie
Komponent aplikacji przetwarza parametry dostarczane przez użytkownika w niebezpieczny sposób, przekazując je do zapytań SQL. Może to umożliwić ślepą iniekcję SQL, potencjalnie ujawniając zawartość bazy danych lub powodując brak reakcji aplikacji. Poprawka dostępna jest od wersji 14.0101.
Oryginalny opis (angielski, źródło NVD)
The application generates uploaded file names using a weak and predictable method based on the request timestamp. This allows a remote attacker to accurately guess or brute-force the generated filename within a short time window. An attacker can successfully locate and access uploaded files, which can be used to facilitate further attacks. Apply patch from vendor https://vsdesk.ru/ . Versions 14.0101 and on have the patch.