CVE-2025-15681
KrytyczneCVSS 9.2Streszczenie
TBEA TLogger V2.1.0.0B0.0.0.0 zawiera obejście uwierzytelniania w swoim serwerze WWW. Po wcześniejszym uwierzytelnieniu użytkownika na urządzeniu, nieuwierzytelniony atakujący może bezpośrednio uzyskać dostęp do chronionych funkcji przez punkt końcowy /index.asp bez podawania ważnych poświadczeń. Umożliwia to atakującemu dostęp do funkcji przeznaczonych dla uwierzytelnionych użytkowników i może ujawnić lub zmodyfikować konfigurację i dane urządzenia. Wylogowanie z ominiętego stanu może dodatkowo spowodować awarię serwera WWW.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do funkcji administracyjnych, co prowadzi do naruszenia poufności i integralności konfiguracji urządzenia oraz potencjalnej odmowy usługi.
Rekomendacja
Zastosuj aktualizacje dostarczone przez producenta lub ogranicz dostęp do urządzenia, aby zapobiec nieautoryzowanemu dostępowi.
Oryginalny opis (angielski, źródło NVD)
TBEA TLogger V2.1.0.0B0.0.0.0 contains an authentication bypass in its web server. After a user has previously authenticated to the device, an unauthenticated attacker can directly access protected functionality through the /index.asp endpoint without providing valid credentials. This allows the attacker to access functionality intended for authenticated users and may expose or modify device configuration and data. Logging out from the bypassed state can additionally cause the web server to crash.