CVE-2025-59742
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność SQL injection w systemie AndSoft e-TMS w wersji 25.03. Występuje w parametrze 'USRMAIL' w pliku '/inc/login/TRACK_REQUESTFRMSQL.ASP' i pozwala atakującemu na odczyt, tworzenie, modyfikację oraz usuwanie danych w bazie poprzez wysłanie żądania POST.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do bazy danych, w tym wykraść, zmodyfikować lub usunąć dane uwierzytelniające i biznesowe. Może to doprowadzić do przejęcia kont i utraty integralności danych.
Rekomendacja
Należy jak najszybciej zaktualizować e-TMS do wersji zawierającej poprawkę od producenta oraz wdrożyć walidację i parametryzację zapytań SQL. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu logowania z niezaufanych sieci.
Inne podatności w AndSoft e-TMS
Zobacz wszystkie- CVE-2025-59743Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie SQL w pliku /inc/connect/CONNECTION.ASP przez ciasteczko 'SessionID'. Atakujący może wysłać żądanie POST, aby odczytać, tworzyć, aktualizować i usuwać dane w bazie danych.
- CVE-2025-59741Krytyczne
W systemie AndSoft e-TMS w wersji v25.03.03 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może wykonać dowolne polecenia na serwerze, wysyłając specjalnie spreparowane żądanie POST z parametrem 'm' do zasobu '/CLT/LOGINERRORFRM.ASP'.
- CVE-2025-59740Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_CAT.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59739Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_original.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59738Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_BET.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59737Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_LXA.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59736Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM_DJO.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59735Krytyczne
AndSoft e-TMS w wersji v25.03 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr 'm' w pliku /clt/LOGINFRM.ASP. Atakujący może wysłać żądanie POST, aby wykonać dowolne polecenia na serwerze.
- CVE-2025-59774Średnie
AndSoft e-TMS w wersji v25.03 zawiera odzwierciedloną podatność Cross-Site Scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy URL z parametrami 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w ścieżce '/clt/LOGINFRM_VON.ASP'.
- CVE-2025-59773Średnie
W AndSoft e-TMS w wersji 25.03 występuje podatność typu odbity cross-site scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy adres URL. Podatne parametry to 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w pliku '/clt/LOGINFRM_TP.ASP'.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in AndSoft's e-TMS v25.03. This vulnerability could allow an attacker to retrieve, create, update, and delete databases by sending a POST request. The relationship between parameter and assigned identifier is a 'USRMAIL' parameter in'/inc/login/TRACK_REQUESTFRMSQL.ASP'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS