CVE-2025-52547
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Oprogramowanie E3 Site Supervisor Control w wersji firmware < 2.31F01 zawiera wywołanie API bez walidacji danych wejściowych. Atakujący może wykorzystać ten mechanizm do ciągłego powodowania awarii usług aplikacji.
Ocena ryzyka
Możliwe powtarzające się przerwy w działaniu usług kontrolnych, co może zakłócić nadzór nad systemami i obniżyć dostępność infrastruktury.
Rekomendacja
Zaktualizuj firmware do wersji 2.31F01 lub nowszej oraz ogranicz dostęp do interfejsu API wyłącznie do zaufanych sieci.
Inne podatności w E3 Site Supervisor Control
Zobacz wszystkie- CVE-2025-52548Średnie
Oprogramowanie E3 Site Supervisor Control (wersje firmware przed 2.31F01) zawiera ukryte wywołanie API w usługach aplikacji, które umożliwia włączenie SSH i Shellinabox, domyślnie wyłączonych. Atakujący z dostępem administracyjnym do usług aplikacji może wykorzystać to API do zdalnego dostępu do systemu operacyjnego.
- CVE-2025-52546Średnie
E3 Site Supervisor Control (wersja firmware < 2.31F01) posiada funkcję planu pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików planu pięter. Poprzez przesłanie specjalnie spreparowanego pliku atakujący może wstrzyknąć trwały XSS do strony internetowej planu pięter.
- CVE-2025-52545Wysokie
Usługa RCI w E3 Site Supervisor Control (firmware < 2.31F01) zawiera wywołanie API do odczytu informacji o użytkownikach, które zwraca wszystkie nazwy użytkowników oraz hashe haseł dla usług aplikacji.
- CVE-2025-52544Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) posiada funkcję planów pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików. Poprzez specjalnie spreparowany plik atakujący może uzyskać dostęp do dowolnego pliku w systemie E3.
- CVE-2025-52543Wysokie
E3 Site Supervisor Control (firmware < 2.31F01) w usługach aplikacyjnych (MGW i RCI) używa hashowania po stronie klienta do uwierzytelniania. Atakujący może uwierzytelnić się, znając jedynie hash hasła.
Oryginalny opis (angielski, źródło NVD)
E3 Site Supervisor Control (firmware version < 2.31F01) MGW contains an API call that lacks input validation. An attacker can use this command to continuously crash the application services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS