CVE-2025-36857
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Rapid7 Appspider Pro w wersjach poniżej 7.5.021 ma podatność związaną z uszkodzoną kontrolą dostępu w mechanizmie ładowania plików konfiguracyjnych. Atakujący może umieszczać pliki w katalogach należących do innych użytkowników lub projektów. Standardowi użytkownicy mogą dodawać niestandardowe pliki konfiguracyjne, które są ładowane w kolejności alfabetycznej i mogą nadpisywać lub zmieniać ustawienia oryginalnych plików. Problem został naprawiony w wersji 7.5.021.
Ocena ryzyka
Podatność może pozwolić na zmianę konfiguracji aplikacji, co może prowadzić do nieautoryzowanego dostępu lub naruszenia integralności danych.
Rekomendacja
Należy natychmiast zaktualizować Rapid7 Appspider Pro do wersji 7.5.021 lub nowszej, która zawiera poprawkę.
Inne podatności w Rapid7 Appspider Pro
Zobacz wszystkie- CVE-2017-5236Wysokie
Instalatory Rapid7 AppSpider Pro przed wersją 6.14.060 zawierają podatność na preloading DLL, co pozwala na załadowanie złośliwego pliku DLL z bieżącego katalogu roboczego instalatora.
- CVE-2017-5233Wysokie
Instalatory Rapid7 AppSpider Pro przed wersją 6.14.053 zawierają podatność na preloading DLL, która pozwala na załadowanie złośliwej biblioteki DLL znajdującej się w bieżącym katalogu roboczym instalatora.
Oryginalny opis (angielski, źródło NVD)
Rapid7 Appspider Pro versions below 7.5.021, suffer from a broken access control vulnerability in the application's configuration file loading mechanism, whereby an attacker can place files in directories belonging to other users or projects. Affected versions allow standard users to add custom configuration files. These files, which are loaded in alphabetical order, can override or change the settings of the original configuration files, creating a security vulnerability. This issue stems from improper directory access management. This vulnerability was remediated in version 7.5.021 of the product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS