CVE-2025-54459

WysokieCVSS 7.5

Opublikowano: 29/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

Przed 19 września 2025 roku Hospital Manager Backend Services udostępniał punkt końcowy ASP.NET tracing /trace.axd bez uwierzytelnienia, co pozwalało zdalnemu atakującemu uzyskać ślady żądań na żywo oraz wrażliwe informacje, takie jak metadane żądań, identyfikatory sesji, nagłówki autoryzacji, zmienne serwera i wewnętrzne ścieżki plików.

Ocena ryzyka

Ujawnienie wrażliwych informacji może umożliwić atakującemu przechwycenie sesji, kradzież danych lub dalsze ataki na system.

Rekomendacja

Wyłącz lub zabezpiecz punkt końcowy /trace.axd, wymagając uwierzytelnienia i ograniczając dostęp. Zaktualizuj oprogramowanie do wersji po 19 września 2025.

Inne podatności w Hospital Manager Backend Services

CVE-2025-61959Średnie
Przed 19 września 2025 roku Hospital Manager Backend Services zwracał szczegółowe strony błędów ASP.NET dla nieprawidłowych żądań WebResource.axd, ujawniając informacje o frameworku i wersji ASP.NET, ślady stosu, wewnętrzne ścieżki oraz niebezpieczną konfigurację 'customErrors mode="Off"', co mogło ułatwić rozpoznanie przez nieuwierzytelnionych atakujących.

Oryginalny opis (angielski, źródło NVD)

Prior to September 19, 2025, the Hospital Manager Backend Services exposed the ASP.NET tracing endpoint /trace.axd without authentication, allowing a remote attacker to obtain live request traces and sensitive information such as request metadata, session identifiers, authorization headers, server variables, and internal file paths.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS