CVE-2025-51057
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność lokalnego dołączania plików (LFI) w Vedo Suite w wersji 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesanityzowanego wywołania funkcji 'readfile()' w ścieżce '/api_vedo/video/preview'.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych, takich jak pliki konfiguracyjne, hasła czy dane użytkowników, co może prowadzić do dalszej eskalacji ataku i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Vedo Suite do najnowszej wersji, która zawiera poprawkę usuwającą podatność LFI, oraz wdrożenie walidacji wejścia dla parametrów przekazywanych do funkcji 'readfile()'.
Inne podatności w Vedo Suite
Zobacz wszystkie- CVE-2026-51366Krytyczne
W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje podatność na wstrzykiwanie SQL (SQL Injection) w endpointcie api_vedo/chat i parametrze utente_chat, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-51367Wysokie
W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje problem umożliwiający zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez endpoint api_vedo/chat i parametr utente_chat.
- CVE-2025-51058Średnie
Podatność SSRF w Vedo Suite 2024.17 umożliwia uwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych zewnętrznych ścieżek poprzez parametr "file" w endpointcie /api_vedo/video/preview.
- CVE-2025-51056Wysokie
Podatność nieograniczonego przesyłania plików w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym zapis do dowolnych ścieżek systemu plików poprzez wykorzystanie niebezpiecznej funkcji 'uploadPreviews()' w '/api_vedo/colorways_preview', co prowadzi do zdalnego wykonania kodu (RCE).
- CVE-2025-51055Wysokie
W Vedo Suite w wersji 2024.17 odkryto niebezpieczne przechowywanie danych uwierzytelniających w pliku /api_vedo/configuration/config.yml. Plik ten zawiera poświadczenia w postaci jawnego tekstu, tajne klucze oraz informacje o bazie danych.
- CVE-2025-51054Średnie
Podatność w Vedo Suite 2024.17 umożliwia nieuwierzytelnionym atakującym zdalne uzyskanie ważnego tokena JWT z wysokimi uprawnieniami poprzez wysłanie pustego żądania HTTP POST do endpointu /autologin/. Jest to spowodowane nieprawidłową kontrolą dostępu.
- CVE-2025-51053Średnie
Podatność Cross-site scripting (XSS) w interfejsie /api_vedo/ w Vedo Suite w wersji 2024.17 umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML, co może prowadzić do wykonania kodu w przeglądarce ofiary.
- CVE-2025-51052Średnie
Podatność typu path traversal w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesprawdzonego wywołania funkcji 'file_get_contents()' w ścieżce '/api_vedo/template'.
Oryginalny opis (angielski, źródło NVD)
A local file inclusion (LFI) vulnerability in Vedo Suite version 2024.17 allows remote authenticated attackers to read arbitrary filesystem files by exploiting an unsanitized 'readfile()' function call in '/api_vedo/video/preview'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS