Aktywnie wykorzystywana w atakach

Advantive VeraCore SQL Injection Vulnerability

Advantive - VeraCore · Figuruje w katalogu CISA KEV od 2025-03-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-25181

ŚrednieCVSS 5.8KEV

Opublikowano: 03/02/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Podatność typu SQL injection w pliku timeoutWarning.asp w Advantive VeraCore do wersji 2025.1.0 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL poprzez parametr PmSess1.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, modyfikacji lub kradzieży danych.

Rekomendacja

Zaktualizuj Advantive VeraCore do najnowszej wersji i zastosuj zasady bezpiecznego kodowania w celu zapobiegania SQL injection.

Inne podatności w Advantive VeraCore

CVE-2024-57968KrytyczneAktywnie exploitowane
Advantive VeraCore przed wersją 2024.4.2.1 pozwala uwierzytelnionym zdalnym użytkownikom na przesyłanie plików do niezamierzonych folderów (np. dostępnych podczas przeglądania stron internetowych przez innych użytkowników). Można do tego wykorzystać upload.aspx.

Oryginalny opis (angielski, źródło NVD)

A SQL injection vulnerability in timeoutWarning.asp in Advantive VeraCore through 2025.1.0 allows remote attackers to execute arbitrary SQL commands via the PmSess1 parameter.