CVE-2025-61301

WysokieCVSS 7.5

Opublikowano: 20/10/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Podatność w CAPEv2 (commit 52e4b43) w plikach reporting/mongodb.py i reporting/jsondump.py umożliwia atakującym przesyłanie próbek, które generują głęboko zagnieżdżone lub zbyt duże dane behawioralne, powodując błędy limitów BSON MongoDB lub rekurencji orjson. Skutkuje to niekompletnymi lub brakującymi raportami analizy behawioralnej.

Ocena ryzyka

Organizacja może otrzymywać niepełne lub fałszywie negatywne raporty z analizy złośliwego oprogramowania, co prowadzi do błędnych decyzji bezpieczeństwa i potencjalnego przeoczenia rzeczywistych zagrożeń.

Rekomendacja

Należy zaktualizować CAPEv2 do wersji zawierającej poprawkę lub zastosować ograniczenia na głębokość i rozmiar danych behawioralnych przed zapisem do MongoDB i JSON.

Inne podatności w CAPEv2

CVE-2026-90768Wysokie
CAPEv2 do commita 471ee4b nie weryfikuje własności zadań w endpointach REST API, co pozwala uwierzytelnionym użytkownikom na odczyt i usuwanie analiz przesłanych przez innych użytkowników. Atakujący może wyliczyć wszystkie zadania w systemie i usunąć dowolne analizy, wysyłając żądania do endpointów wyświetlania i usuwania zadań bez weryfikacji własności.

Oryginalny opis (angielski, źródło NVD)

Denial-of-analysis in reporting/mongodb.py and reporting/jsondump.py in CAPEv2 (commit 52e4b43, on 2025-05-17) allows attackers who can submit samples to cause incomplete or missing behavioral analysis reports by generating deeply nested or oversized behavior data that trigger MongoDB BSON limits or orjson recursion errors when the sample executes in the sandbox.