CVE-2025-59989
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w Juniper Networks Junos Space umożliwia atakującemu wstrzyknięcie tagów skryptów na stronie Device Discovery, które po odwiedzeniu przez innego użytkownika pozwalają atakującemu na wykonanie poleceń z uprawnieniami ofiary, w tym administratora. Problem dotyczy wszystkich wersji Junos Space przed 24.1R4.
Ocena ryzyka
Organizacja może doświadczyć nieautoryzowanego wykonania poleceń z uprawnieniami administratora, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację Junos Space do wersji 24.1R4 lub nowszej, która zawiera poprawki zabezpieczeń, oraz ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Juniper Junos Space
Zobacz wszystkie- CVE-2014-3412Wysokie
Nieokreślona podatność w Juniper Junos Space przed wersją 13.3R1.8, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń, gdy zapora jest wyłączona.
- CVE-2025-59999Średnie
Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w Juniper Networks Junos Space umożliwia atakującemu wstrzyknięcie tagów skryptów na stronie API Access Profiles, które po odwiedzeniu przez innego użytkownika pozwalają atakującemu na wykonanie poleceń z uprawnieniami ofiary, w tym administratora. Problem dotyczy wszystkich wersji Junos Space przed 24.1R4.
- CVE-2025-59975Wysokie
Nieograniczone zużycie zasobów w demonie HTTP (httpd) Juniper Networks Junos Space pozwala nieuwierzytelnionemu atakującemu na zalewanie systemu żądaniami API, co prowadzi do wyczerpania wszystkich zasobów i odmowy usługi (DoS). Po ciągłym zalewaniu systemu żądaniami połączeń wszystkie dostępne deskryptory plików zostają zużyte, blokując dostęp do systemu przez SSH i interfejs WWW. Wymagany jest ręczny restart systemu.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Juniper Networks Junos Space allows an attacker to inject script tags in the Device Discovery page that, when visited by another user, enables the attacker to execute commands with the target's permissions, including an administrator. This issue affects all versions of Junos Space before 24.1R4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS