CVE-2025-58448
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
rAthena przed commitem 0d89ae0 ma podatność na wstrzyknięcie SQL w komponencie PartyBooking poprzez parametr WorldName. Commit 0d89ae0 naprawia ten problem.
Ocena ryzyka
Atakujący może wykonywać nieautoryzowane zapytania do bazy danych, co może prowadzić do wycieku lub modyfikacji danych serwera gry. Może to zaszkodzić integralności i poufności danych graczy.
Rekomendacja
Zaktualizuj rAthena do wersji zawierającej commit 0d89ae0 lub nowszej. Do czasu aktualizacji ogranicz dostęp do funkcji PartyBooking.
Inne podatności w rAthena
Zobacz wszystkie- CVE-2025-58447Krytyczne
W rAthena w wersjach przed commitem 2f5248b występuje przepełnienie bufora na stercie w serwerze logowania; zdalny atakujący może nadpisać sąsiednie pola sesji, wysyłając spreparowane CA_SSO_LOGIN_REQ z nadmierną długością tokenu. Prowadzi to do natychmiastowej odmowy usługi (awarii) i możliwe jest osiągnięcie zdalnego wykonania kodu poprzez uszkodzenie sterty. Commit 2f5248b naprawia problem.
- CVE-2025-62170Wysokie
W rAthena w wersjach przed commitem af2f3ba występuje podatność use-after-free w funkcjonalności RODEX map-servera. Nieuwierzytelniony atakujący może wykorzystać tę podatność w określonym scenariuszu ataku, powodując awarię map-servera i odmowę usługi.
- CVE-2025-58750Wysokie
rAthena to serwer MMORPG. W wersjach przed commitem 0cc348b brakuje sprawdzenia granic w funkcji chclif_parse_moveCharSlot, co może prowadzić do odczytu i zapisu poza granicami przy użyciu danych wejściowych od użytkownika.
Oryginalny opis (angielski, źródło NVD)
rAthena is an open-source cross-platform massively multiplayer online role playing game (MMORPG) server. Versions prior to commit 0d89ae0 have a SQL Injection in the PartyBooking component via `WorldName` parameter. Commit 0d89ae0 fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS