CVE-2025-15088

ŚrednieCVSS 6.3

Opublikowano: 25/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W oprogramowaniu JEPaaS (wersje do 7.2.8 włącznie) wykryto podatność w funkcji postilService.loadPostils w pliku /je/postil/postil/loadPostil. Manipulacja argumentem keyWord prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

Ocena ryzyka

Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy danych, a w niektórych przypadkach do przejęcia kontroli nad serwerem.

Rekomendacja

Należy natychmiast zaktualizować JEPaaS do wersji zawierającej poprawkę lub wdrożyć parametryzację zapytań SQL dla funkcji loadPostils. Do czasu aktualizacji zaleca się ograniczenie dostępu do zagrożonego endpointu.

Inne podatności w JEPaaS

CVE-2025-14694Średnie
W ketr JEPaaS do wersji 7.2.8 znaleziono podatność na wstrzykiwanie SQL w funkcji readAllPostil pliku /je/postil/postil/readAllPostil. Manipulacja argumentem keyWord prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Producent został poinformowany, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in ketr JEPaaS up to 7.2.8. Affected by this vulnerability is the function postilService.loadPostils of the file /je/postil/postil/loadPostil. Performing a manipulation of the argument keyWord results in sql injection. Remote exploitation of the attack is possible. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS