CVE-2025-52162
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W oprogramowaniu Agorum core open w wersjach 11.9.2 i 11.10.1 wykryto podatność XML External Entity (XXE) w punkcie końcowym RSSReader. Umożliwia ona atakującym dostęp do wrażliwych danych poprzez dostarczenie spreparowanego wejścia XML.
Ocena ryzyka
Ryzyko polega na możliwości odczytu poufnych plików z serwera, co może prowadzić do wycieku danych, takich jak hasła, klucze czy konfiguracje systemowe.
Rekomendacja
Należy niezwłocznie zaktualizować Agorum core open do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do punktu RSSReader oraz walidację i filtrowanie danych XML.
Inne podatności w Agorum core open
Zobacz wszystkie- CVE-2025-52169Wysokie
W oprogramowaniu Agorum core open w wersjach 11.9.2 i 11.10.1 odkryto podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy skrypt do żądania, który zostanie wykonany w przeglądarce ofiary.
- CVE-2025-52163Średnie
Podatność SSRF w komponencie TunnelServlet w Agorum core open v11.9.2 i v11.10.1 umożliwia atakującym wymuszenie połączeń z dowolnymi zasobami wewnętrznymi i zewnętrznymi poprzez spreparowane żądanie. Może to prowadzić do ujawnienia wrażliwych danych.
- CVE-2025-52168Średnie
Podatność w komponencie dynawebservice oprogramowania Agorum core open w wersjach 11.9.2 i 11.10.1 umożliwia nieuwierzytelnionym atakującym dostęp do dowolnych plików w systemie. Problem wynika z nieprawidłowej kontroli dostępu.
- CVE-2025-52166Średnie
Podatność w Agorum core open w wersjach 11.9.2 i 11.10.1 wynika z nieprawidłowej kontroli dostępu. Umożliwia ona uwierzytelnionym atakującym eskalację uprawnień do poziomu administratora.
- CVE-2025-52164Wysokie
W oprogramowaniu Agorum core open w wersjach 11.9.2 i 11.10.1 odkryto, że dane uwierzytelniające są przechowywane w postaci jawnego tekstu.
Oryginalny opis (angielski, źródło NVD)
agorum Software GmbH Agorum core open v11.9.2 & v11.10.1 was discovered to contain an XML External Entity (XXE) via the RSSReader endpoint. This vulnerability allows attackers to access sensitive data via providing a crafted XML input.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS