CVE-2025-58441
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Knowage (open source platform analityczna i business intelligence) przed wersją 8.1.37 zawiera podatność na ślepą podrabianie żądań po stronie serwera (blind SSRF). Atakujący może wysyłać żądania do dowolnych hostów/ścieżek, ale nie może odczytać odpowiedzi, co ogranicza wpływ, jednak umożliwia skanowanie wewnętrznej sieci.
Ocena ryzyka
Ryzyko obejmuje możliwość skanowania wewnętrznej sieci organizacji, co może ujawnić dostępne usługi i pomóc w dalszych atakach.
Rekomendacja
Zaleca się aktualizację Knowage do wersji 8.1.37 lub nowszej, która zawiera poprawkę, oraz ograniczenie dostępu do zasobów wewnętrznych z poziomu aplikacji.
Inne podatności w Knowage
Zobacz wszystkie- CVE-2023-38702Krytyczne
Knowage to otwartoźródłowy zestaw analityczny i inteligencji biznesowej. W wersjach od 6.x.x do przed 8.1.8, punkt końcowy `/knowage/restful-services/dossier/importTemplateFile` pozwala uwierzytelnionym użytkownikom na przesyłanie plików szablonów na serwer bez wymogu autoryzacji, co umożliwia wykonanie kodu na serwerze.
- CVE-2023-37472Wysokie
Knowage to otwartoźródłowy zestaw narzędzi do analizy biznesowej, który nieprawidłowo przetwarza dane użytkowników, co może prowadzić do wstrzyknięcia SQL. Atakujący może stworzyć specjalnie przygotowane zapytania HQL, które wpłyną na generowane przez silnik Hibernate zapytania SQL.
- CVE-2023-36819Średnie
Knowage to profesjonalny zestaw open source do analizy danych, który ma lukę w wersjach 6.x.x i wcześniejszych niż 8.1.8. Umożliwia ona uwierzytelnionym użytkownikom pobieranie plików szablonów, jednak brak sanitizacji parametru '_templateName_' pozwala atakującym na pobranie dowolnego pliku z systemu.
- CVE-2023-35154Wysokie
Knowage to otwarte oprogramowanie analityczne i do inteligencji biznesowej. W wersjach od 6.0.0 do przed 8.1.8, atakujący mógł zarejestrować i aktywować swoje konto bez konieczności kliknięcia w link zawarty w e-mailu, co umożliwiało mu dostęp do aplikacji jako zwykły użytkownik.
Oryginalny opis (angielski, źródło NVD)
Knowage is an open source analytics and business intelligence suite. Prior to version 8.1.37, there is a blind server-side request forgery vulnerability. The vulnerability allows attackers to send requests to arbitrary hosts/paths. Since the attacker is not able to read the response, the impact of this vulnerability is limited. However, an attacker should be able to leverage this vulnerability to scan the internal network. This issue has been patched in version 8.1.37.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS