CVE-2025-54089
NiskieCVSS 3.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność cross-site scripting (XSS) w Secure Access w wersjach przed 14.10. Atakujący z dostępem administracyjnym do konsoli może zakłócać dostęp innego administratora do konsoli. Złożoność ataku niska, brak wymagań ataku, wymagane wysokie uprawnienia i aktywny udział ofiary. Brak wpływu na poufność i dostępność, niski wpływ na integralność.
Ocena ryzyka
Ryzyko polega na możliwości manipulacji sesją innego administratora, co może prowadzić do nieautoryzowanych zmian w konfiguracji lub zakłócenia zarządzania systemem.
Rekomendacja
Zaleca się aktualizację Secure Access do wersji 14.10 lub nowszej, aby wyeliminować podatność XSS.
Inne podatności w Secure Access
Zobacz wszystkie- CVE-2026-97717Średnie
CVE-2026-97717 to podatność w podsystemie proxy serwerów Secure Access przed wersją 14.60. Uwierzytelnieni atakujący mogą wysyłać złośliwe dane do serwera i spowodować trwałą odmowę usługi (DoS).
- CVE-2026-97716Wysokie
CVE-2026-97716 to podatność w podsystemie nawiązywania połączeń serwerów Secure Access w wersjach przed 14.60. Nieuwierzytelnieni atakujący mogą wysyłać specjalnie spreparowany ruch do serwera i powodować trwałą odmowę usługi.
- CVE-2026-97715Wysokie
Podatność w procesie rejestracji klienta w serwerach Secure Access przed wersją 14.60. Uwierzytelnieni atakujący mogą wysłać nieprawidłowe dane do serwera, powodując trwałą odmowę usługi.
- CVE-2026-97714Wysokie
Podatność w podsystemie uwierzytelniania serwerów Secure Access przed wersją 14.60. Atakujący mogą wysłać nieprawidłową odpowiedź podczas uwierzytelniania, powodując trwałą odmowę usługi.
- CVE-2026-55402Średnie
CVE-2026-55402 to podatność odczytu poza zakresem w serwerach Secure Access przed wersją 14.57. Atakujący znajdujący się w pozycji 'man-in-the-middle' mogą wysyłać specjalnie spreparowane dane do serwera, powodując trwałą odmowę usługi.
- CVE-2026-55401Średnie
CVE-2026-55401 to podatność na dereferencję null w podsystemie równoważenia obciążenia serwerów Secure Access przed wersją 14.57. Atakujący może wysłać nieuwierzytelniony pakiet do serwera Secure Access z włączonym równoważeniem obciążenia, co powoduje awarię wewnętrznego load balancera. Po udanym ataku serwer Secure Access nadal może przyjmować połączenia i może wydać failover dla podłączonych klientów.
- CVE-2026-55400Średnie
CVE-2026-55400 to podatność na niedomiar liczby całkowitej w serwerach Secure Access przed wersją 14.57. Atakujący z uwierzytelnioną sesją może wysłać specjalnie spreparowany ruch do serwera w nie domyślnej konfiguracji i spowodować trwałą odmowę usługi.
- CVE-2026-55398Niskie
Podatność w klientach i serwerach Secure Access przed wersją 14.55 umożliwia atakującym z dogłębną znajomością i pełną kontrolą nad protokołem tunelowania przeprowadzenie nieutrwalonego ataku DoS na serwer.
- CVE-2026-33445Średnie
Podatność w zarządzaniu pamięcią w serwerach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą wywołać trwałą odmowę usługi (DoS).
- CVE-2026-33444Niskie
Podatność w zarządzaniu pamięcią w serwerach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą wywołać nieutrwaloną odmowę usługi (DoS) na serwerze.
Oryginalny opis (angielski, źródło NVD)
CVE-2025-54089 is a cross-site scripting vulnerability in versions of secure access prior to 14.10. Attackers with administrative access to the console can interfere with another administrator’s access to the console. The attack complexity is low; there are no attack requirements. Privileges required to execute the attack are high and the victim must actively participate in the attack sequence. There is no impact to confidentiality or availability, there is a low impact to integrity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS