CVE-2025-35032
NiskieCVSS 3.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W Medical Informatics Engineering Enterprise Health uwierzytelnieni użytkownicy mogą przesyłać dowolne pliki. Wpływ tego zachowania zależy od sposobu dostępu do plików. Problem został naprawiony od 2025-04-08.
Ocena ryzyka
Uwierzytelniony atakujący może przesłać złośliwe pliki, co może prowadzić do wykonania kodu lub ujawnienia danych, w zależności od sposobu dostępu do plików. Organizacje korzystające z Enterprise Health są narażone na to ryzyko.
Rekomendacja
Upewnij się, że system został zaktualizowany do wersji zawierającej poprawkę z 2025-04-08. Jeśli nie, należy ograniczyć możliwość przesyłania plików do niezbędnych typów.
Inne podatności w Enterprise Health
Zobacz wszystkie- CVE-2025-35034Średnie
Medical Informatics Engineering Enterprise Health ma podatność typu reflected XSS w parametrze URL 'portlet_user_id'. Zdalny, nieuwierzytelniony atakujący może spreparować URL, który wykona dowolny kod JavaScript w przeglądarce ofiary. Podatność została naprawiona 2025-03-14.
- CVE-2025-35031Niskie
System Medical Informatics Engineering Enterprise Health umieszcza bieżący token sesji użytkownika w danych wyjściowych debugowania. Atakujący może nakłonić użytkownika do przesłania tych danych, a następnie podszyć się pod niego. Problem został naprawiony 2025-04-08.
Oryginalny opis (angielski, źródło NVD)
Medical Informatics Engineering Enterprise Health allows authenticated users to upload arbitrary files. The impact of this behavior depends on how files are accessed. This issue is fixed as of 2025-04-08.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS