CVE-2025-55147
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W produktach Ivanti Connect Secure, Policy Secure, ZTA Gateway i Neurons for Secure Access występuje podatność CSRF. Zdalny nieuwierzytelniony atakujący może wykonać wrażliwe akcje w imieniu ofiary, wymagana jest interakcja użytkownika.
Ocena ryzyka
Atakujący może nakłonić zalogowanego użytkownika do wykonania niepożądanych działań w aplikacji. Może to prowadzić do zmiany konfiguracji lub ujawnienia danych.
Rekomendacja
Zaktualizuj wymienione produkty Ivanti do wersji zawierających poprawkę. Wdróż mechanizmy ochrony przed CSRF, takie jak tokeny anty-CSRF i nagłówki bezpieczeństwa.
Inne podatności w Ivanti Connect Secure / Policy Secure / ZTA Gateway / Neurons for Secure Access
Zobacz wszystkie- CVE-2025-8711Średnie
W Ivanti Connect Secure (przed 22.7R2.9 lub 22.8R2), Ivanti Policy Secure (przed 22.7R1.6), Ivanti ZTA Gateway (przed 2.8R2.3-723) oraz Ivanti Neurons for Secure Access (przed 22.8R1.4) występuje podatność CSRF. Zdalny nieuwierzytelniony atakujący może wykonać ograniczone akcje w imieniu ofiary, co wymaga interakcji użytkownika.
- CVE-2025-55144Średnie
W produktach Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 oraz Ivanti Neurons for Secure Access przed 22.8R1.4 występuje brak autoryzacji. Zdalny uwierzytelniony atakujący z uprawnieniami administratora tylko do odczytu może konfigurować zastrzeżone ustawienia.
- CVE-2025-55143Średnie
W Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 oraz Ivanti Neurons for Secure Access przed 22.8R1.4 występuje odbita iniekcja tekstu. Zdalny nieuwierzytelniony atakujący może wstrzyknąć dowolny tekst do spreparowanej odpowiedzi HTTP, wymagana jest interakcja użytkownika.
- CVE-2025-55139Średnie
Podatność SSRF w Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 i Ivanti Neurons for Secure Access przed 22.8R1.4 (poprawka wdrożona 02.08.2025) pozwala zdalnemu uwierzytelnionemu atakującemu z uprawnieniami administratora na wyliczanie usług wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
CSRF in Ivanti Connect Secure before 22.7R2.9 or 22.8R2, Ivanti Policy Secure before 22.7R1.6, Ivanti ZTA Gateway before 2.8R2.3-723 and Ivanti Neurons for Secure Access before 22.8R1.4 (Fix deployed on 02-Aug-2025) allows a remote unauthenticated attacker to execute sensitive actions on behalf of the victim user. User interaction is required
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS