CVE-2025-51055
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Vedo Suite w wersji 2024.17 odkryto niebezpieczne przechowywanie danych uwierzytelniających w pliku /api_vedo/configuration/config.yml. Plik ten zawiera poświadczenia w postaci jawnego tekstu, tajne klucze oraz informacje o bazie danych.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych, co może prowadzić do nieautoryzowanego dostępu do systemów i baz danych, a także do kradzieży danych lub eskalacji uprawnień.
Rekomendacja
Należy natychmiast usunąć jawne poświadczenia z pliku config.yml i zastosować bezpieczne metody przechowywania sekretów, takie jak menedżer haseł lub szyfrowanie. Ponadto zaleca się rotację wszystkich skompromitowanych kluczy i haseł.
Inne podatności w Vedo Suite
Zobacz wszystkie- CVE-2026-51366Krytyczne
W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje podatność na wstrzykiwanie SQL (SQL Injection) w endpointcie api_vedo/chat i parametrze utente_chat, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-51367Wysokie
W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje problem umożliwiający zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez endpoint api_vedo/chat i parametr utente_chat.
- CVE-2025-51058Średnie
Podatność SSRF w Vedo Suite 2024.17 umożliwia uwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych zewnętrznych ścieżek poprzez parametr "file" w endpointcie /api_vedo/video/preview.
- CVE-2025-51057Średnie
Podatność lokalnego dołączania plików (LFI) w Vedo Suite w wersji 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesanityzowanego wywołania funkcji 'readfile()' w ścieżce '/api_vedo/video/preview'.
- CVE-2025-51056Wysokie
Podatność nieograniczonego przesyłania plików w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym zapis do dowolnych ścieżek systemu plików poprzez wykorzystanie niebezpiecznej funkcji 'uploadPreviews()' w '/api_vedo/colorways_preview', co prowadzi do zdalnego wykonania kodu (RCE).
- CVE-2025-51054Średnie
Podatność w Vedo Suite 2024.17 umożliwia nieuwierzytelnionym atakującym zdalne uzyskanie ważnego tokena JWT z wysokimi uprawnieniami poprzez wysłanie pustego żądania HTTP POST do endpointu /autologin/. Jest to spowodowane nieprawidłową kontrolą dostępu.
- CVE-2025-51053Średnie
Podatność Cross-site scripting (XSS) w interfejsie /api_vedo/ w Vedo Suite w wersji 2024.17 umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML, co może prowadzić do wykonania kodu w przeglądarce ofiary.
- CVE-2025-51052Średnie
Podatność typu path traversal w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesprawdzonego wywołania funkcji 'file_get_contents()' w ścieżce '/api_vedo/template'.
Oryginalny opis (angielski, źródło NVD)
Insecure Data Storage of credentials has been found in /api_vedo/configuration/config.yml file in Vedo Suite version 2024.17. This file contains clear-text credentials, secret keys, and database information.