CVE-2025-59710
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W Biztalk360 przed wersją 11.5 wykryto problem z kontrolą dostępu, który pozwala każdemu użytkownikowi na żądanie załadowania pliku DLL. Podczas ładowania wywoływana jest metoda. Atakujący może stworzyć złośliwą bibliotekę DLL, przesłać ją na serwer i wykorzystać do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub przejęcia kontroli nad aplikacją.
Rekomendacja
Zaktualizuj Biztalk360 do wersji 11.5 lub nowszej, która zawiera poprawkę. Tymczasowo ogranicz możliwość przesyłania plików DLL przez użytkowników.
Inne podatności w Biztalk360
Zobacz wszystkie- CVE-2025-59711Wysokie
W Biztalk360 przed wersją 11.5 odkryto lukę polegającą na nieprawidłowym przetwarzaniu danych wejściowych użytkownika w mechanizmie przesyłania plików. Uwierzytelniony atakujący może zapisywać pliki poza docelowym katalogiem oraz/lub wymusić uwierzytelnienie z usługi, co stanowi podatność typu Directory Traversal.
- CVE-2025-59709Średnie
W Biztalk360 do wersji 11.5 stwierdzono podatność na Directory Traversal z powodu nieprawidłowego przetwarzania danych wejściowych użytkownika w ścieżce do odczytu przez serwer. Atakujący z uprawnieniami Super User może odczytać pliki w systemie i/lub wymusić uwierzytelnienie z usługi.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Biztalk360 before 11.5. Because of incorrect access control, any user is able to request the loading a DLL file. During the loading, a method is called. An attacker can craft a malicious DLL, upload it to the server, and use it to achieve remote code execution on the server.