CVE-2025-36229
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 pozwala uwierzytelnionym użytkownikom na enumerację identyfikatorów pakietów, co umożliwia uzyskanie informacji o danych. Luka dotyczy wycieku informacji wrażliwych poprzez odgadywanie identyfikatorów.
Ocena ryzyka
Uwierzytelniony użytkownik może pozyskać informacje o strukturze i zawartości danych innych użytkowników, co może ułatwić dalsze ataki. Ryzyko naruszenia poufności danych w organizacji.
Rekomendacja
Zaktualizuj IBM Aspera Faspex 5 do wersji nowszej niż 5.0.14.1, jeśli jest dostępna, lub zastosuj środki ograniczające dostęp do identyfikatorów pakietów. Monitoruj dostęp uwierzytelnionych użytkowników pod kątem nietypowej enumeracji.
Inne podatności w IBM Aspera Faspex 5
Zobacz wszystkie- CVE-2026-14959Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń powłoki.
- CVE-2026-14958Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez niecytowaną interpolację powłoki.
- CVE-2022-47986KrytyczneAktywnie exploitowane
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
- CVE-2026-14996Wysokie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 zawiera lukę związaną z zarządzaniem sesjami.
- CVE-2025-36230Średnie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 jest podatny na wstrzyknięcie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny hostującej.
- CVE-2025-36228Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 może mieć niespójne uprawnienia między interfejsem użytkownika a backendowym API, co pozwala użytkownikom na dostęp do funkcji, które wydawały się wyłączone. Może to prowadzić do niewłaściwego użycia.
- CVE-2025-36171Średnie
IBM Aspera Faspex w wersjach od 5.0.0 do 5.0.13.1 może pozwolić uprzywilejowanemu użytkownikowi na wywołanie odmowy usługi (DoS) poprzez nieprawidłowo zwalidowane dane wejściowe API, prowadzące do nadmiernego zużycia zasobów.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Faspex 5 5.0.0 through 5.0.14.1 could allow authenticated users to enumerate sensitive information of data due by enumerating package identifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS