Aktywnie wykorzystywana w atakach
Microsoft Windows Scripting Engine Type Confusion Vulnerability
Microsoft - Windows · Figuruje w katalogu CISA KEV od 2025-05-13. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-30397
WysokieCVSS 7.5KEVStreszczenie
Dostęp do zasobu przy użyciu niezgodnego typu (pomylenie typów) w silniku skryptowym Microsoft pozwala nieautoryzowanemu atakującemu na wykonanie kodu przez sieć.
Ocena ryzyka
Atakujący może zdalnie wykonać kod w kontekście użytkownika, co może prowadzić do przejęcia systemu lub kradzieży danych.
Rekomendacja
Zainstaluj najnowsze aktualizacje zabezpieczeń Microsoft, które naprawiają tę podatność.
Inne podatności w Microsoft Scripting Engine
Zobacz wszystkie- CVE-2017-0028Krytyczne
Istnieje podatność na zdalne wykonanie kodu, gdy silnik skryptowy Microsoftu niewłaściwie uzyskuje dostęp do obiektów w pamięci. Może to prowadzić do uszkodzenia pamięci, co umożliwia atakującemu wykonanie dowolnego kodu w kontekście bieżącego użytkownika.
- CVE-2026-88193Wysokie
Podatność przepełnienia bufora opartego na stercie w Microsoft Scripting Engine umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie. Problem wynika z nieprawidłowego zarządzania pamięcią.
Oryginalny opis (angielski, źródło NVD)
Access of resource using incompatible type ('type confusion') in Microsoft Scripting Engine allows an unauthorized attacker to execute code over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS