CVE-2025-14603
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Komponent aplikacji przetwarza parametry dostarczane przez użytkownika w niebezpieczny sposób, przekazując je do zapytań SQL. Może to umożliwić ślepą iniekcję SQL, potencjalnie ujawniając zawartość bazy danych lub powodując brak reakcji aplikacji. Poprawka dostępna jest od wersji 14.0101.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek danych z bazy danych oraz zakłócenie działania aplikacji, co może wpłynąć na dostępność usług.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki od producenta (https://vsdesk.ru/) oraz aktualizację do wersji 14.0101 lub nowszej.
Inne podatności w vsdesk
Zobacz wszystkie- CVE-2026-2334Krytyczne
W vsDesk v14.0101 uwierzytelniony atakujący z uprawnieniami administratora może ominąć walidację plików po stronie klienta w komponencie "Import via CSV" z powodu braku walidacji po stronie serwera. Umożliwia to przesłanie dowolnego pliku, co może prowadzić do zdalnego wykonania kodu (RCE) w kontekście aplikacji webowej.
- CVE-2025-14600Krytyczne
vsDesk zawiera podatność na niebezpieczną deserializację, która pozwala zdalnemu atakującemu uzyskać nieautoryzowany dostęp administracyjny. Manipulując danymi konfiguracyjnymi aplikacji, atakujący może wymusić uwierzytelnienie systemu przeciwko dowolnemu serwerowi LDAP i utworzyć nowe konto administracyjne.
- CVE-2025-14601Wysokie
Podatność na wstrzyknięcie poleceń systemu operacyjnego w vsDesk pozwala uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na wykonanie dowolnych poleceń systemowych z powodu niewystarczającej filtracji wejścia.
- CVE-2025-14602Średnie
Aplikacja generuje nazwy przesłanych plików w sposób słaby i przewidywalny, oparty na znaczniku czasu żądania. Zdalny atakujący może odgadnąć lub brutalnie wymusić nazwę pliku w krótkim czasie, uzyskać dostęp do przesłanych plików i ułatwić dalsze ataki.
Oryginalny opis (angielski, źródło NVD)
The application component processes user-supplied parameters insecurely, passing them into SQL queries. This can enable blind SQL injection, potentially exposing database contents or causing the application to become unresponsive. Apply patch from vendor https://vsdesk.ru/ . Versions 14.0101 and on have the patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS