CVE-2025-41013
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność SQL injection w TCMAN GIM v11 w wersji 20250304 pozwala atakującemu na odczyt, tworzenie, modyfikację i usuwanie danych w bazach poprzez wysłanie żądania GET z parametrem 'idmant' w '/PC/frmEPIS.aspx'.
Ocena ryzyka
Atakujący może przejąć kontrolę nad bazą danych, wykradać lub niszczyć dane oraz potencjalnie uzyskać dostęp do innych zasobów systemu. Wysokie ryzyko dla poufności, integralności i dostępności danych.
Rekomendacja
Zaktualizuj TCMAN GIM do wersji zawierającej poprawkę lub wdroż filtrowanie parametru 'idmant' i stosuj zapytania parametryzowane. Ogranicz dostęp do '/PC/frmEPIS.aspx' do zaufanych sieci.
Inne podatności w TCMAN GIM
Zobacz wszystkie- CVE-2025-41015Wysokie
Podatność enumeracji użytkowników w TCMAN GIM v11 w wersji 20250304 pozwala nieuwierzytelnionemu atakującemu ustalić, czy dany użytkownik istnieje w systemie. Podatność jest wykorzystywana przez parametr 'pda:username' z 'soapaction GetUserQuestionAndAnswer' w '/WS/PDAWebService.asmx'.
- CVE-2025-41014Wysokie
Podatność enumeracji użytkowników w TCMAN GIM v11 w wersji 20250304 pozwala nieuwierzytelnionemu atakującemu ustalić, czy dany użytkownik istnieje w systemie. Podatność jest wykorzystywana przez parametr 'pda:username' z 'soapaction GetLastDatePasswordChange' w '/WS/PDAWebService.asmx'.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in TCMAN GIM v11 in version 20250304. This vulnerability allows an attacker to retrieve, create, update, and delete databases by sending a GET request using the 'idmant' parameter in '/PC/frmEPIS.aspx'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS