Aktywnie wykorzystywana w atakach

Microsoft Windows Scripting Engine Type Confusion Vulnerability

Microsoft - Windows · Figuruje w katalogu CISA KEV od 2025-05-13. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-30397

WysokieCVSS 7.5KEV

Opublikowano: 13/05/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Dostęp do zasobu przy użyciu niezgodnego typu (pomylenie typów) w silniku skryptowym Microsoft pozwala nieautoryzowanemu atakującemu na wykonanie kodu przez sieć.

Ocena ryzyka

Atakujący może zdalnie wykonać kod w kontekście użytkownika, co może prowadzić do przejęcia systemu lub kradzieży danych.

Rekomendacja

Zainstaluj najnowsze aktualizacje zabezpieczeń Microsoft, które naprawiają tę podatność.

Inne podatności w Microsoft Scripting Engine

CVE-2017-0028Krytyczne
Istnieje podatność na zdalne wykonanie kodu, gdy silnik skryptowy Microsoftu niewłaściwie uzyskuje dostęp do obiektów w pamięci. Może to prowadzić do uszkodzenia pamięci, co umożliwia atakującemu wykonanie dowolnego kodu w kontekście bieżącego użytkownika.

Oryginalny opis (angielski, źródło NVD)

Access of resource using incompatible type ('type confusion') in Microsoft Scripting Engine allows an unauthorized attacker to execute code over a network.