CVE-2025-36171
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
IBM Aspera Faspex w wersjach od 5.0.0 do 5.0.13.1 może pozwolić uprzywilejowanemu użytkownikowi na wywołanie odmowy usługi (DoS) poprzez nieprawidłowo zwalidowane dane wejściowe API, prowadzące do nadmiernego zużycia zasobów.
Ocena ryzyka
Uprzywilejowany użytkownik może spowodować niedostępność usługi, zakłócając transfer plików i operacje biznesowe. Może to prowadzić do przestojów i strat produktywności.
Rekomendacja
Należy zaktualizować IBM Aspera Faspex do najnowszej wersji i wdrożyć dodatkowe kontrole walidacji danych wejściowych API.
Inne podatności w IBM Aspera Faspex
Zobacz wszystkie- CVE-2026-14959Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń powłoki.
- CVE-2026-14958Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez niecytowaną interpolację powłoki.
- CVE-2022-47986KrytyczneAktywnie exploitowane
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
- CVE-2026-14996Wysokie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 zawiera lukę związaną z zarządzaniem sesjami.
- CVE-2025-36230Średnie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 jest podatny na wstrzyknięcie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny hostującej.
- CVE-2025-36229Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 pozwala uwierzytelnionym użytkownikom na enumerację identyfikatorów pakietów, co umożliwia uzyskanie informacji o danych. Luka dotyczy wycieku informacji wrażliwych poprzez odgadywanie identyfikatorów.
- CVE-2025-36228Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 może mieć niespójne uprawnienia między interfejsem użytkownika a backendowym API, co pozwala użytkownikom na dostęp do funkcji, które wydawały się wyłączone. Może to prowadzić do niewłaściwego użycia.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Faspex 5.0.0 through 5.0.13.1 could allow a privileged user to cause a denial of service from improperly validated API input due to excessive resource consumption.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS