Aktywnie wykorzystywana w atakach

SysAid On-Prem Improper Restriction of XML External Entity Reference Vulnerability

SysAid - SysAid On-Prem · Figuruje w katalogu CISA KEV od 2025-07-22. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-2776

KrytyczneCVSS 9.3KEV

Opublikowano: 07/05/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

SysAid On-Prem w wersjach do 23.3.40 jest podatny na nieuwierzytelnioną podatność XML External Entity (XXE) w funkcji przetwarzania adresu URL serwera, co pozwala na przejęcie konta administratora i odczyt plików.

Ocena ryzyka

Atakujący może przejąć konto administratora i odczytać dowolne pliki z serwera, co może prowadzić do naruszenia poufności danych i pełnej kompromitacji systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację SysAid On-Prem do wersji nowszej niż 23.3.40 oraz ograniczenie dostępu do funkcji przetwarzania adresów URL.

Inne podatności w SysAid On-Prem

CVE-2025-2775KrytyczneAktywnie exploitowane
SysAid On-Prem w wersjach do 23.3.40 zawiera nieuwierzytelnioną podatność XML External Entity (XXE) w funkcji przetwarzania Checkin, umożliwiającą przejęcie konta administratora oraz odczyt plików.

Oryginalny opis (angielski, źródło NVD)

SysAid On-Prem versions <= 23.3.40 are vulnerable to an unauthenticated XML External Entity (XXE) vulnerability in the Server URL processing functionality, allowing for administrator account takeover and file read primitives.