CVE-2025-34521
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność na odbity cross-site scripting (XSS) w interfejsie webowym Arcserve Unified Data Protection (UDP). Niesanityzowane dane wejściowe są odbijane w odpowiedziach HTTP. Zdalni atakujący z niskimi uprawnieniami mogą tworzyć złośliwe linki, które po odwiedzeniu przez innego użytkownika wykonują dowolny JavaScript w przeglądarce ofiary. Udane wykorzystanie może prowadzić do przejęcia sesji, kradzieży poświadczeń lub innych skutków po stronie klienta. Podatność dotyczy wszystkich wersji UDP przed 10.2; wersje 8.0 do 10.1 wymagają poprawki lub aktualizacji do 10.2; wersje 7.x i starsze muszą zostać zaktualizowane do 10.2.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji, kradzież poświadczeń i inne ataki po stronie klienta, co może naruszyć bezpieczeństwo użytkowników i organizacji.
Rekomendacja
Zaleca się aktualizację Arcserve UDP do wersji 10.2 lub zastosowanie odpowiednich poprawek dla wersji 8.0-10.1; wersje 7.x i starsze należy zaktualizować do 10.2.
Inne podatności w Arcserve Unified Data Protection
Zobacz wszystkie- CVE-2025-34523Krytyczne
W Arcserve Unified Data Protection (UDP) występuje przepełnienie bufora na stercie w procedurach obsługi danych wejściowych związanych z siecią. Podatność jest osiągalna bez uwierzytelnienia i wynika z nieprawidłowego sprawdzania granic przy przetwarzaniu danych kontrolowanych przez atakującego.
- CVE-2025-34522Krytyczne
W Arcserve Unified Data Protection (UDP) występuje przepełnienie bufora na stercie w logice parsowania danych wejściowych. Podatność można wywołać bez uwierzytelnienia, wysyłając specjalnie spreparowane dane, co może prowadzić do awarii aplikacji lub zdalnego wykonania kodu.
- CVE-2025-34520Krytyczne
W Arcserve Unified Data Protection (UDP) występuje obejście uwierzytelniania, które pozwala nieuwierzytelnionym atakującym uzyskać dostęp do chronionych funkcji lub kont użytkowników. Poprzez manipulację parametrami żądania lub wykorzystanie błędu logicznego można ominąć mechanizm logowania i uzyskać uprawnienia administratora. Podatność dotyczy wszystkich wersji UDP przed 10.2.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability exists in the web interface of the Arcserve Unified Data Protection (UDP), where unsanitized user input is improperly reflected in HTTP responses. This flaw allows remote attackers with low privileges to craft malicious links that, when visited by another user, execute arbitrary JavaScript in the victim’s browser. Successful exploitation may lead to session hijacking, credential theft, or other client-side impacts. The vulnerability requires user interaction and occurs within a shared browser context. This vulnerability affects all UDP versions prior to 10.2. UDP 10.2 includes the necessary patches and requires no action. Versions 8.0 through 10.1 are supported and require either patch application or upgrade to 10.2. Versions 7.x and earlier are unsupported or out of maintenance and must be upgraded to 10.2 to remediate the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS