CVE-2025-15117

NiskieCVSS 3.1

Opublikowano: 28/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W Dromara Sa-Token do wersji 1.44.0 zidentyfikowano słabość w funkcji ObjectInputStream.readObject pliku SaJdkSerializer.java. Manipulacja danymi wejściowymi może prowadzić do deserializacji niezaufanych danych. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją.

Ocena ryzyka

Deserializacja niezaufanych danych może umożliwić zdalne wykonanie kodu lub inne poważne skutki. Dostawca nie odpowiedział na zgłoszenie, co zwiększa ryzyko braku szybkiej poprawki.

Rekomendacja

Ogranicz dostęp do funkcji deserializacji, stosuj bezpieczne mechanizmy deserializacji i monitoruj projekt w oczekiwaniu na oficjalną poprawkę.

Inne podatności w Dromara Sa-Token

CVE-2025-15222Średnie
Znaleziono podatność w Dromara Sa-Token do wersji 1.44.0. Dotyczy funkcji ObjectInputStream.readObject w pliku SaSerializerTemplateForJdkUseBase64.java. Manipulacja prowadzi do deserializacji. Atak może być wykonany zdalnie, charakteryzuje się wysoką złożonością i trudnością wykorzystania. Exploit jest publiczny. Producent nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in Dromara Sa-Token up to 1.44.0. This affects the function ObjectInputStream.readObject of the file SaJdkSerializer.java. Executing manipulation can lead to deserialization. The attack may be launched remotely. This attack is characterized by high complexity. It is indicated that the exploitability is difficult. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS