CVE-2025-41281

WysokieCVSS 7.8

Opublikowano: 29/05/2026(UTC)Zaktualizowano: 21/07/2026(UTC)Przetłumaczono: 22/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W produkcie Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Atakujący mający dostęp do TX Host mogą wykonać kod na RX Host po skonfigurowaniu łącznika MySQL.

Ocena ryzyka

Organizacja narażona jest na zdalne wykonanie kodu na podatnym urządzeniu, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania sieci przemysłowej.

Rekomendacja

Należy niezwłocznie zaktualizować oprogramowanie Waterfall WF-500 RX Host do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji ograniczyć dostęp do TX Host i skonfigurować łącznik MySQL tylko w zaufanym środowisku.

Inne podatności w Waterfall WF-500 RX Host

CVE-2025-41279Wysokie
Podatność CWE-78 (wstrzykiwanie poleceń systemu operacyjnego) w interfejsie administracyjnym WebUI urządzenia Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040. Zdalny, uwierzytelniony atakujący może wykonać dowolne polecenia systemowe na hoście.

Oryginalny opis (angielski, źródło NVD)

Nozomi Networks Labs identified a CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') in Waterfall WF-500 RX Host in version 7.9.1.0 R2502171040 that allows attackers with access to the TX Host to execute code on the RX Host when a MySQL connector is configured.