CVE-2025-40592

ŚrednieCVSS 6.1

Opublikowano: 12/06/2025(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

W Mendix Studio Pro 9, 10, 11 i 11.12 (wersje dla Windows i Mac) wykryto podatność typu zip path traversal w procesie instalacji modułów. Atakujący może stworzyć złośliwy moduł i rozpowszechniać go np. przez Mendix Marketplace, co pozwala na zapis lub modyfikację dowolnych plików poza katalogiem projektu dewelopera.

Ocena ryzyka

Organizacja może zostać naruszona poprzez wstrzyknięcie złośliwego kodu lub modyfikację plików projektu, co może prowadzić do przejęcia kontroli nad środowiskiem deweloperskim lub wstrzyknięcia backdoorów do aplikacji.

Rekomendacja

Zaleca się natychmiastową aktualizację Mendix Studio Pro do wersji wskazanych w opisie (np. V10.24.24, V11.13.0, V11.12.2, V11.6.9, V9.24.44) oraz unikanie instalowania modułów z niezweryfikowanych źródeł.

Inne podatności w Mendix Studio Pro

CVE-2026-48192Średnie
Podatność w Mendix Studio Pro polega na braku odpowiedniej walidacji i sanityzacji plików projektów przetwarzanych podczas budowania. Atakujący może nakłonić użytkownika do otwarcia i uruchomienia specjalnie spreparowanego złośliwego projektu, co prowadzi do wykonania dowolnego kodu w kontekście tego użytkownika.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been identified in Mendix Studio Pro 10 (All versions < V10.24.24 for Windows), Mendix Studio Pro 10 (All versions < V10.24.24 for Mac), Mendix Studio Pro 11 (All versions < V11.13.0 for Windows), Mendix Studio Pro 11 (All versions < V11.13.0 for Mac), Mendix Studio Pro 11.12 (All versions < V11.12.2 for Windows), Mendix Studio Pro 11.12 (All versions < V11.12.2 for Mac), Mendix Studio Pro 11.6 (All versions < V11.6.9 for Windows), Mendix Studio Pro 11.6 (All versions < V11.6.9 for Mac), Mendix Studio Pro 9 (All versions < V9.24.44 for Windows). A zip path traversal vulnerability exists in the module installation process of Studio Pro. By crafting a malicious module and distributing it via (for example) the Mendix Marketplace, an attacker could write or modify arbitrary files in directories outside a developer’s project directory upon module installation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS