CVE-2025-25968
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność w DDSN Interactive cm3 Acora CMS w wersji 10.1.1 wynika z nieprawidłowej kontroli dostępu. Użytkownik z uprawnieniami edytora może uzyskać dostęp do poufnych informacji, takich jak dane logowania administratora systemu, poprzez wymuszone przeglądanie punktu końcowego i wykorzystanie parametru 'file'. Odwołując się do konkretnych plików (np. cm3.xml), atakujący może ominąć mechanizmy kontroli dostępu, co prowadzi do przejęcia konta i potencjalnej eskalacji uprawnień.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia konta administratora przez użytkownika z niskimi uprawnieniami, co może skutkować pełną kompromitacją systemu CMS i dostępem do wrażliwych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu cm3 Acora CMS do najnowszej wersji oraz wdrożenie ścisłej kontroli dostępu do punktów końcowych i parametrów, takich jak 'file', aby uniemożliwić nieautoryzowany dostęp do poufnych plików.
Oryginalny opis (angielski, źródło NVD)
DDSN Interactive cm3 Acora CMS version 10.1.1 contains an improper access control vulnerability. An editor-privileged user can access sensitive information, such as system administrator credentials, by force browsing the endpoint and exploiting the 'file' parameter. By referencing specific files (e.g., cm3.xml), attackers can bypass access controls, leading to account takeover and potential privilege escalation.