CVE-2025-41272
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń na urządzeniu.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad urządzeniem, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz potencjalnego rozprzestrzenienia ataku w sieci.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie Waterfall WF-500 do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji ograniczyć dostęp do interfejsu WebUI tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Nozomi Networks Labs identified a CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') in the Console WebUI in Waterfall WF-500 TX and RX Hosts in version 7.9.1.0 R2502171040 that allows remote unauthenticated attackers to execute arbitrary operating system commands on the device.