CVE-2025-15222

ŚrednieCVSS 5.0

Opublikowano: 30/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Znaleziono podatność w Dromara Sa-Token do wersji 1.44.0. Dotyczy funkcji ObjectInputStream.readObject w pliku SaSerializerTemplateForJdkUseBase64.java. Manipulacja prowadzi do deserializacji. Atak może być wykonany zdalnie, charakteryzuje się wysoką złożonością i trudnością wykorzystania. Exploit jest publiczny. Producent nie odpowiedział.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu poprzez deserializację, ale ze względu na wysoką złożoność atak jest trudny do przeprowadzenia. Mimo to publiczny exploit zwiększa ryzyko.

Rekomendacja

Zaktualizuj Sa-Token do najnowszej wersji, jeśli dostępna jest poprawka. Ogranicz dostęp do aplikacji używających Sa-Token i monitoruj logi.

Inne podatności w Dromara Sa-Token

CVE-2025-15117Niskie
W Dromara Sa-Token do wersji 1.44.0 zidentyfikowano słabość w funkcji ObjectInputStream.readObject pliku SaJdkSerializer.java. Manipulacja danymi wejściowymi może prowadzić do deserializacji niezaufanych danych. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Dromara Sa-Token up to 1.44.0. This issue affects the function ObjectInputStream.readObject of the file SaSerializerTemplateForJdkUseBase64.java. Such manipulation leads to deserialization. The attack can be executed remotely. This attack is characterized by high complexity. The exploitability is assessed as difficult. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS