CVE-2025-52546
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
E3 Site Supervisor Control (wersja firmware < 2.31F01) posiada funkcję planu pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików planu pięter. Poprzez przesłanie specjalnie spreparowanego pliku atakujący może wstrzyknąć trwały XSS do strony internetowej planu pięter.
Ocena ryzyka
Może to prowadzić do wykonania złośliwego skryptu w przeglądarce użytkowników odwiedzających stronę planu pięter, potencjalnie umożliwiając kradzież sesji lub danych.
Rekomendacja
Zaktualizuj firmware E3 Site Supervisor Control do wersji 2.31F01 lub nowszej. Do czasu aktualizacji ogranicz dostęp do funkcji przesyłania planów pięter.
Inne podatności w E3 Site Supervisor Control
Zobacz wszystkie- CVE-2025-52548Średnie
Oprogramowanie E3 Site Supervisor Control (wersje firmware przed 2.31F01) zawiera ukryte wywołanie API w usługach aplikacji, które umożliwia włączenie SSH i Shellinabox, domyślnie wyłączonych. Atakujący z dostępem administracyjnym do usług aplikacji może wykorzystać to API do zdalnego dostępu do systemu operacyjnego.
- CVE-2025-52547Wysokie
Oprogramowanie E3 Site Supervisor Control w wersji firmware < 2.31F01 zawiera wywołanie API bez walidacji danych wejściowych. Atakujący może wykorzystać ten mechanizm do ciągłego powodowania awarii usług aplikacji.
- CVE-2025-52545Wysokie
Usługa RCI w E3 Site Supervisor Control (firmware < 2.31F01) zawiera wywołanie API do odczytu informacji o użytkownikach, które zwraca wszystkie nazwy użytkowników oraz hashe haseł dla usług aplikacji.
- CVE-2025-52544Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) posiada funkcję planów pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików. Poprzez specjalnie spreparowany plik atakujący może uzyskać dostęp do dowolnego pliku w systemie E3.
- CVE-2025-52543Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) w usługach aplikacyjnych (MGW i RCI) używa hashowania po stronie klienta do uwierzytelniania. Atakujący może uwierzytelnić się, znając jedynie hash hasła.
Oryginalny opis (angielski, źródło NVD)
E3 Site Supervisor Control (firmware version < 2.31F01) has a floor plan feature that allows for an unauthenticated attacker to upload floor plan files. By uploading a specially crafted floor plan file, an attacker can inject a stored XSS to the floorplan web page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS