CVE-2025-41277
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W produkcie Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 polegającą na nieprawidłowej neutralizacji specjalnych elementów w konsoli WebUI, co umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemu operacyjnego na urządzeniu.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad urządzeniem, co prowadzi do naruszenia poufności, integralności i dostępności systemu, a także potencjalnego zakłócenia działania sieci przemysłowej.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie Waterfall WF-500 do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć dostęp do konsoli WebUI tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Nozomi Networks Labs identified a CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') in the Console WebUI in Waterfall WF-500 TX and RX Hosts in version 7.9.1.0 R2502171040 that allows remote unauthenticated attackers to execute arbitrary operating system commands on the device.