CVE-2025-25613

WysokieCVSS 7.5

Opublikowano: 20/11/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

W przełączniku FS Inc S3150-8T2F przed wersją 2.2.0D Build 135103, dane uwierzytelniające (nazwy użytkowników i hasła) są przesyłane w ciasteczkach w postaci jawnego tekstu, zakodowanego jedynie base64. Każde żądanie POST do interfejsu administracyjnego ujawnia te dane w niezaszyfrowanej formie.

Ocena ryzyka

Atakujący mogą przechwycić ruch sieciowy i odczytać dane logowania administratora, co prowadzi do pełnej kompromitacji urządzenia i sieci. Brak szyfrowania umożliwia łatwe kradzież poufnych danych uwierzytelniających.

Rekomendacja

Należy natychmiast zaktualizować oprogramowanie przełącznika do wersji 2.2.0D Build 135103 lub nowszej. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego wyłącznie do zaufanych sieci.

Inne podatności w FS Inc S3150-8T2F

CVE-2025-25612Wysokie
W przełączniku FS Inc S3150-8T2F przed wersją S3150-8T2F_2.2.0D_135103 występuje podatność na atak XSS w funkcji konfiguracji przedziałów czasowych interfejsu administracyjnego. Atakujący może wstrzyknąć złośliwy JavaScript w pole "Time Range Name", które nie jest odpowiednio sanityzowane. Po zapisaniu, skrypt wykonuje się w przeglądarce każdego użytkownika odwiedzającego podatną stronę, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

FS Inc S3150-8T2F 8-Port Gigabit Ethernet L2+ Switch, 8 x Gigabit RJ45, with 2 x 1Gb SFP, Fanless. All versions before 2.2.0D Build 135103 were discovered to transmit cookies for their web based administrative application containing usernames and passwords. These were transmitted in cleartext using simple base64 encoding during every POST request made to the server.