CVE-2025-52543
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
E3 Site Supervisor Control (firmware < 2.31F01) w usługach aplikacyjnych (MGW i RCI) używa hashowania po stronie klienta do uwierzytelniania. Atakujący może uwierzytelnić się, znając jedynie hash hasła.
Ocena ryzyka
Atakujący może uzyskać dostęp do aplikacji bez znajomości hasła, co prowadzi do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj firmware do wersji 2.31F01 lub nowszej. Wdróż silniejsze mechanizmy uwierzytelniania i chroń hashe haseł.
Inne podatności w E3 Site Supervisor Control
Zobacz wszystkie- CVE-2025-52548Średnie
Oprogramowanie E3 Site Supervisor Control (wersje firmware przed 2.31F01) zawiera ukryte wywołanie API w usługach aplikacji, które umożliwia włączenie SSH i Shellinabox, domyślnie wyłączonych. Atakujący z dostępem administracyjnym do usług aplikacji może wykorzystać to API do zdalnego dostępu do systemu operacyjnego.
- CVE-2025-52547Wysokie
Oprogramowanie E3 Site Supervisor Control w wersji firmware < 2.31F01 zawiera wywołanie API bez walidacji danych wejściowych. Atakujący może wykorzystać ten mechanizm do ciągłego powodowania awarii usług aplikacji.
- CVE-2025-52546Średnie
E3 Site Supervisor Control (wersja firmware < 2.31F01) posiada funkcję planu pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików planu pięter. Poprzez przesłanie specjalnie spreparowanego pliku atakujący może wstrzyknąć trwały XSS do strony internetowej planu pięter.
- CVE-2025-52545Wysokie
Usługa RCI w E3 Site Supervisor Control (firmware < 2.31F01) zawiera wywołanie API do odczytu informacji o użytkownikach, które zwraca wszystkie nazwy użytkowników oraz hashe haseł dla usług aplikacji.
- CVE-2025-52544Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) posiada funkcję planów pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików. Poprzez specjalnie spreparowany plik atakujący może uzyskać dostęp do dowolnego pliku w systemie E3.
Oryginalny opis (angielski, źródło NVD)
E3 Site Supervisor Control (firmware version < 2.31F01) application services (MGW and RCI) uses client side hashing for authentication. An attacker can authenticate by obtaining only the password hash.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS