CVE-2025-59711
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W Biztalk360 przed wersją 11.5 odkryto lukę polegającą na nieprawidłowym przetwarzaniu danych wejściowych użytkownika w mechanizmie przesyłania plików. Uwierzytelniony atakujący może zapisywać pliki poza docelowym katalogiem oraz/lub wymusić uwierzytelnienie z usługi, co stanowi podatność typu Directory Traversal.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych plików systemowych lub przeprowadzić atak typu credential harvesting, co zagraża poufności danych i bezpieczeństwu kont.
Rekomendacja
Zaleca się aktualizację Biztalk360 do wersji 11.5 lub nowszej. Należy również ograniczyć uprawnienia użytkowników do przesyłania plików oraz stosować walidację ścieżek.
Inne podatności w Biztalk360
Zobacz wszystkie- CVE-2025-59710Wysokie
W Biztalk360 przed wersją 11.5 wykryto problem z kontrolą dostępu, który pozwala każdemu użytkownikowi na żądanie załadowania pliku DLL. Podczas ładowania wywoływana jest metoda. Atakujący może stworzyć złośliwą bibliotekę DLL, przesłać ją na serwer i wykorzystać do zdalnego wykonania kodu.
- CVE-2025-59709Średnie
W Biztalk360 do wersji 11.5 stwierdzono podatność na Directory Traversal z powodu nieprawidłowego przetwarzania danych wejściowych użytkownika w ścieżce do odczytu przez serwer. Atakujący z uprawnieniami Super User może odczytać pliki w systemie i/lub wymusić uwierzytelnienie z usługi.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Biztalk360 before 11.5. Because of mishandling of user-provided input in an upload mechanism, an authenticated attacker is able to write files outside of the destination directory and/or coerce an authentication from the service, aka Directory Traversal.