CVE-2025-40772
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W SiPass integrated (wszystkie wersje < V3.0) wykryto podatność typu stored Cross-Site Scripting (XSS) w aplikacjach serwerowych. Atakujący może wstrzyknąć złośliwy kod, który zostanie wykonany przez innych użytkowników odwiedzających podatną stronę.
Ocena ryzyka
Skuteczne wykorzystanie pozwala atakującemu podszyć się pod innych użytkowników i ukraść ich dane sesyjne, co może prowadzić do nieautoryzowanego dostępu do kont i eskalacji uprawnień.
Rekomendacja
Zaktualizuj SiPass integrated do wersji V3.0 lub nowszej oraz wdróż walidację i kodowanie danych wejściowych. Rozważ wdrożenie nagłówków bezpieczeństwa i monitorowanie nietypowych działań użytkowników.
Inne podatności w SiPass integrated
Zobacz wszystkie- CVE-2025-40774Średnie
W SiPass integrated (wszystkie wersje < V3.0) aplikacje serwerowe przechowują hasła użytkowników w bazie danych w formie zaszyfrowanej. Klucze deszyfrujące są dostępne dla użytkowników z uprawnieniami administracyjnymi, co pozwala im odzyskać hasła. Udane wykorzystanie pozwala atakującemu uzyskać i użyć ważnych haseł użytkowników, co może prowadzić do nieautoryzowanego dostępu, wycieku danych i kompromitacji systemu.
- CVE-2025-40773Niskie
W systemie SiPass integrated (wszystkie wersje przed V3.0) wykryto podatność związaną z uszkodzoną kontrolą dostępu. Mechanizm autoryzacji nie zawiera wystarczających kontroli po stronie serwera, co pozwala atakującemu na wykonanie konkretnego żądania API.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in SiPass integrated (All versions < V3.0). Affected server applications are vulnerable to stored Cross-Site Scripting (XSS), allowing an attacker to inject malicious code that can be executed by other users when they visit the affected page. Successful exploitation allows an attacker to impersonate other users within the application and steal their session data. This could enable unauthorized access to accounts and potentially lead to privilege escalation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS