CVE-2025-40645

WysokieCVSS 8.7

Opublikowano: 02/10/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W aplikacji Viday występuje ekspozycja wrażliwych informacji. Nieuwierzytelniony atakujący może uzyskać dane klientów, wysyłając żądanie HTTP GET do endpointu /api/reserva/web/clients z parametrem phone.

Ocena ryzyka

Wyciek danych osobowych klientów może naruszyć prywatność i skutkować konsekwencjami prawnymi oraz utratą zaufania. Nieuwierzytelniony dostęp obniża próg wykorzystania podatności.

Rekomendacja

Ogranicz dostęp do endpointu /api/reserva/web/clients i wdróż uwierzytelnianie oraz walidację parametrów. Skontaktuj się z dostawcą w celu uzyskania poprawki.

Inne podatności w Viday

CVE-2025-40646Średnie
Podatność w systemie Viday umożliwia ujawnienie wrażliwych informacji poprzez przechwytywanie żądań HTTP i odczytanie tokena JWT, który zawiera dane użytkowników w swoim ładunku.

Oryginalny opis (angielski, źródło NVD)

Exposure of sensitive information in Viday. This vulnerability could allow an unauthenticated attacker to obtain sensitive information about customers by sending an HTTP GET request to “/api/reserva/web/clients” using the “phone” parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS