CVE-2025-41014
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność enumeracji użytkowników w TCMAN GIM v11 w wersji 20250304 pozwala nieuwierzytelnionemu atakującemu ustalić, czy dany użytkownik istnieje w systemie. Podatność jest wykorzystywana przez parametr 'pda:username' z 'soapaction GetLastDatePasswordChange' w '/WS/PDAWebService.asmx'.
Ocena ryzyka
Atakujący może zbierać informacje o prawidłowych nazwach użytkowników, co ułatwia dalsze ataki, takie jak brute force lub phishing.
Rekomendacja
Zaktualizuj TCMAN GIM do wersji, która nie ujawnia informacji o istnieniu użytkownika, lub ogranicz dostęp do usługi sieciowej PDAWebService.
Inne podatności w TCMAN GIM
Zobacz wszystkie- CVE-2025-41013Krytyczne
Podatność SQL injection w TCMAN GIM v11 w wersji 20250304 pozwala atakującemu na odczyt, tworzenie, modyfikację i usuwanie danych w bazach poprzez wysłanie żądania GET z parametrem 'idmant' w '/PC/frmEPIS.aspx'.
- CVE-2025-41015Wysokie
Podatność enumeracji użytkowników w TCMAN GIM v11 w wersji 20250304 pozwala nieuwierzytelnionemu atakującemu ustalić, czy dany użytkownik istnieje w systemie. Podatność jest wykorzystywana przez parametr 'pda:username' z 'soapaction GetUserQuestionAndAnswer' w '/WS/PDAWebService.asmx'.
Oryginalny opis (angielski, źródło NVD)
User Enumeration Vulnerability in TCMAN GIM v11 version 20250304. This vulnerability allows an unauthenticated attacker to determine whether a user exists on the system. The vulnerability is exploitable through the 'pda:username' parameter with 'soapaction GetLastDatePasswordChange' in '/WS/PDAWebService.asmx'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS