CVE-2025-51058
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność SSRF w Vedo Suite 2024.17 umożliwia uwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych zewnętrznych ścieżek poprzez parametr "file" w endpointcie /api_vedo/video/preview.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci, uzyskiwania dostępu do poufnych zasobów lub przeprowadzania ataków na inne systemy, co może prowadzić do wycieku danych lub naruszenia integralności infrastruktury.
Rekomendacja
Należy natychmiast zaktualizować Vedo Suite do najnowszej wersji, która zawiera poprawkę, oraz ograniczyć dostęp do endpointu /api_vedo/video/preview tylko dla zaufanych użytkowników.
Inne podatności w Vedo Suite
Zobacz wszystkie- CVE-2026-51366Krytyczne
W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje podatność na wstrzykiwanie SQL (SQL Injection) w endpointcie api_vedo/chat i parametrze utente_chat, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-51367Wysokie
W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje problem umożliwiający zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez endpoint api_vedo/chat i parametr utente_chat.
- CVE-2025-51057Średnie
Podatność lokalnego dołączania plików (LFI) w Vedo Suite w wersji 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesanityzowanego wywołania funkcji 'readfile()' w ścieżce '/api_vedo/video/preview'.
- CVE-2025-51056Wysokie
Podatność nieograniczonego przesyłania plików w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym zapis do dowolnych ścieżek systemu plików poprzez wykorzystanie niebezpiecznej funkcji 'uploadPreviews()' w '/api_vedo/colorways_preview', co prowadzi do zdalnego wykonania kodu (RCE).
- CVE-2025-51055Wysokie
W Vedo Suite w wersji 2024.17 odkryto niebezpieczne przechowywanie danych uwierzytelniających w pliku /api_vedo/configuration/config.yml. Plik ten zawiera poświadczenia w postaci jawnego tekstu, tajne klucze oraz informacje o bazie danych.
- CVE-2025-51054Średnie
Podatność w Vedo Suite 2024.17 umożliwia nieuwierzytelnionym atakującym zdalne uzyskanie ważnego tokena JWT z wysokimi uprawnieniami poprzez wysłanie pustego żądania HTTP POST do endpointu /autologin/. Jest to spowodowane nieprawidłową kontrolą dostępu.
- CVE-2025-51053Średnie
Podatność Cross-site scripting (XSS) w interfejsie /api_vedo/ w Vedo Suite w wersji 2024.17 umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML, co może prowadzić do wykonania kodu w przeglądarce ofiary.
- CVE-2025-51052Średnie
Podatność typu path traversal w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesprawdzonego wywołania funkcji 'file_get_contents()' w ścieżce '/api_vedo/template'.
Oryginalny opis (angielski, źródło NVD)
Bottinelli Informatical Vedo Suite 2024.17 is vulnerable to Server-side Request Forgery (SSRF) in the /api_vedo/video/preview endpoint, which allows remote authenticated attackers to trigger HTTP requests towards arbitrary remote paths via the "file" URL parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS