CVE-2025-41280
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność CWE-23 (Relative Path Traversal, Zip Slip) w Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040 umożliwia atakującym z dostępem do TX Host wykonanie kodu na RX Host, gdy skonfigurowany jest łącznik MySQL i włączona kompresja plików.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu na podatnym systemie, co może prowadzić do przejęcia kontroli nad RX Host i naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania Waterfall WF-500 do najnowszej wersji oraz wyłączenie kompresji plików, jeśli nie jest niezbędna.
Inne podatności w Waterfall WF-500
Zobacz wszystkie- CVE-2025-41277Krytyczne
W produkcie Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 polegającą na nieprawidłowej neutralizacji specjalnych elementów w konsoli WebUI, co umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemu operacyjnego na urządzeniu.
- CVE-2025-41276Krytyczne
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Pozwala ona zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń na urządzeniu.
- CVE-2025-41275Krytyczne
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Pozwala ona zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń na urządzeniu.
- CVE-2025-41274Krytyczne
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Pozwala ona zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń na urządzeniu.
- CVE-2025-41273Krytyczne
Podatność CWE-288 w konsoli WebUI urządzeń Waterfall WF-500 TX i RX w wersji 7.9.1.0 R2502171040 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu ominięcie mechanizmu uwierzytelniania i wykonanie działań jako zalogowany użytkownik.
- CVE-2025-41272Krytyczne
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń na urządzeniu.
- CVE-2025-41270Krytyczne
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Pozwala ona zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń na urządzeniu.
- CVE-2025-41269Krytyczne
W interfejsie WebUI konsoli Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 wykryto podatność CWE-78 na wstrzykiwanie poleceń systemu operacyjnego. Pozwala ona zdalnym, nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń na urządzeniu.
- CVE-2025-41268Krytyczne
Podatność CWE-23 (Relative Path Traversal) w interfejsie administracyjnym WebUI urządzeń Waterfall WF-500 TX i RX Hosts w wersji 7.9.1.0 R2502171040 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu usunięcie dowolnych plików na hoście.
- CVE-2025-41278Wysokie
W produkcie Waterfall WF-500 RX Host w wersji 7.10.0.0 R2601141040 wykryto podatność CWE-125 (odczyt poza zakresem). Umożliwia ona atakującemu mającemu dostęp do TX Host wykonanie kodu na RX Host.
Oryginalny opis (angielski, źródło NVD)
Nozomi Networks Labs identified a CWE-23: Relative Path Traversal (Zip Slip) in Waterfall WF-500 RX Host in version 7.9.1.0 R2502171040 that allows attackers with access to the TX Host to execute code on the RX Host when a MySQL connector is configured and file compression is enabled.