CVE-2025-54945
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W SUNNET Corporate Training Management System przed wersją 10.11 występuje podatność external control of file name or path, pozwalająca zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez złośliwy plik i kontrolę ścieżki docelowej.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w systemie, co może prowadzić do pełnego przejęcia serwera i utraty danych.
Rekomendacja
Zaktualizuj system do wersji 10.11 lub nowszej. Wprowadź walidację ścieżek plików i ogranicz uprawnienia procesów aplikacji.
Inne podatności w SUNNET Corporate Training Management System
Zobacz wszystkie- CVE-2026-24727Krytyczne
Nieograniczone przesyłanie plików o niebezpiecznym typie w funkcji przesyłania wersji roboczej e-papieru w SUNNET Corporate Training Management System do wersji v10.3 umożliwia zdalnym, uwierzytelnionym użytkownikom z uprawnieniami administratora wykonanie dowolnych poleceń poprzez przesłanie spreparowanego archiwum ZIP zawierającego plik wykonywalny po stronie serwera.
- CVE-2025-54946Krytyczne
W SUNNET Corporate Training Management System przed wersją 10.11 występuje podatność SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL.
- CVE-2025-54944Krytyczne
W SUNNET Corporate Training Management System przed wersją 10.11 występuje podatność nieograniczonego przesyłania plików niebezpiecznego typu, umożliwiająca zdalnym atakującym zapisanie złośliwego kodu w określonym pliku, co może prowadzić do wykonania dowolnego kodu.
- CVE-2025-54943Krytyczne
W SUNNET Corporate Training Management System przed wersją 10.11 występuje brak autoryzacji, który pozwala zdalnym atakującym na nieautoryzowane wdrożenie aplikacji z powodu braku odpowiednich kontroli dostępu.
- CVE-2025-54942Krytyczne
W SUNNET Corporate Training Management System przed wersją 10.11 występuje brak uwierzytelnienia dla krytycznej funkcji, co pozwala zdalnym atakującym na dostęp do funkcji wdrażania bez uprzedniego uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
An external control of file name or path vulnerability in SUNNET Corporate Training Management System before 10.11 allows remote attackers to execute arbitrary system commands via a malicious file by controlling the destination file path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS