CVE-2025-46425
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Dell Storage Manager w wersji 20.1.20 zawiera podatność związaną z nieprawidłowym ograniczeniem odwołań do zewnętrznych encji XML (XXE). Atakujący z niskimi uprawnieniami i dostępem zdalnym może ją wykorzystać, prowadząc do nieautoryzowanego dostępu.
Ocena ryzyka
Podatność może umożliwić atakującemu odczyt plików lub wykonanie żądań po stronie serwera, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zastosuj dostępne poprawki od producenta oraz ogranicz dostęp do usługi tylko dla zaufanych użytkowników.
Inne podatności w Dell Storage Manager
Zobacz wszystkie- CVE-2025-43995Krytyczne
Dell Storage Manager w wersji 20.1.21 zawiera podatność na niewłaściwe uwierzytelnianie. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, co prowadzi do obejścia mechanizmów ochronnych. Obejście uwierzytelniania w DSM Data Collector umożliwia dostęp do API wystawionych przez ApiProxy.war w DataCollectorEar.ear przy użyciu specjalnego SessionKey i UserId.
- CVE-2017-14374Krytyczne
Usługa SMI-S w Dell Storage Manager w wersjach wcześniejszych niż 16.3.20 jest zabezpieczona za pomocą twardo zakodowanego hasła. Zdalny użytkownik znający to hasło może potencjalnie wyłączyć usługę SMI-S za pomocą żądań HTTP, co wpływa na funkcjonalność zarządzania i monitorowania pamięci masowej przez interfejs SMI-S.
- CVE-2025-43994Wysokie
Dell Storage Center - Dell Storage Manager, wersje DSM 20.1.21, zawiera podatność braku uwierzytelnienia dla krytycznej funkcji. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę podatność, prowadząc do ujawnienia informacji.
Oryginalny opis (angielski, źródło NVD)
Dell Storage Center - Dell Storage Manager, version(s) 20.1.20, contain(s) an Improper Restriction of XML External Entity Reference vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to Unauthorized access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS