CVE-2025-35981
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W serwerze Command Centre Server występuje ujawnienie prywatnych danych osobowych nieautoryzowanemu podmiotowi (CWE-359), które pozwala uprzywilejowanemu operatorowi na przeglądanie ograniczonych danych osobowych posiadacza karty, do których normalnie nie ma uprawnień. Podatność dotyczy wersji: 9.30.1874 (MR1), 9.20.2337 (MR3), 9.10.3194 (MR6).
Ocena ryzyka
Ryzyko polega na możliwości naruszenia prywatności danych osobowych przez uprzywilejowanego operatora, co może prowadzić do naruszenia przepisów o ochronie danych i utraty zaufania.
Rekomendacja
Zaleca się aktualizację Command Centre Server do wersji zawierającej poprawkę oraz przegląd i ograniczenie uprawnień operatorów w zakresie dostępu do danych osobowych.
Inne podatności w Command Centre Server
Zobacz wszystkie- CVE-2026-26053Średnie
Podatność nieprawidłowego przypisania uprawnień (CWE-266) w Command Centre Server umożliwia uwierzytelnionemu operatorowi z ograniczonymi uprawnieniami wykonanie operacji, do których normalnie nie byłby upoważniony. Problem dotyczy wersji 9.50 przed MR1, 9.40 przed MR3, 9.30 przed MR5, 9.20 przed MR7 oraz wszystkich wersji 9.10.
- CVE-2026-20757Niskie
Podatność nieprawidłowego blokowania (CWE-667) w integracji Gallagher Morpho pozwala uprzywilejowanemu operatorowi na spowodowanie ograniczonej odmowy usługi w serwerze Command Centre Server. Problem dotyczy wersji 9.40 przed vEL9.40.1976(MR1), 9.30 przed vEL9.30.3382 (MR4), 9.20 przed vEL9.20.3783 (MR6), 9.10 przed vEL9.10.4647 (MR9) oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-48430Średnie
W serwerze Command Centre Server występuje nieobsłużony wyjątek (CWE-248), który pozwala upoważnionemu i uprzywilejowanemu operatorowi na celowe spowodowanie awarii serwera. Podatność dotyczy wersji: 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.
- CVE-2025-41402Średnie
W serwerze Command Centre występuje podatność Client-Side Enforcement of Server-Side Security (CWE-602), która pozwala uprzywilejowanemu operatorowi wprowadzić nieprawidłowe dane kompetencji, omijając sprawdzanie wygaśnięcia. Podatność dotyczy wersji 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7) oraz wszystkich wersji 9.00 i starszych.
Oryginalny opis (angielski, źródło NVD)
Exposure of Private Personal Information to an Unauthorized Actor (CWE-359) in the Command Centre Server allows a privileged Operator to view limited personal data about a Cardholder they would not normally have permissions to view. This issue affects Command Centre Server: 9.30.1874 (MR1), 9.20.2337 (MR3), 9.10.3194 (MR6).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS