CVE-2025-41275
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Pozwala ona zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń na urządzeniu.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad urządzeniem, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie Waterfall WF-500 do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu WebUI tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Nozomi Networks Labs identified a CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') in the Console WebUI in Waterfall WF-500 TX and RX Hosts in version 7.9.1.0 R2502171040 that allows remote unauthenticated attackers to execute arbitrary operating system commands on the device.