CVE-2025-61547
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wszystkie funkcje w edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 (poprawionej w 19.76) są podatne na Cross-Site Request Forgery (CSRF). Aplikacja nie implementuje tokenów CSRF ani innych zabezpieczeń, co pozwala zdalnemu atakującemu nakłonić uwierzytelnionych użytkowników do nieświadomego wykonania niezamierzonych akcji w ich sesji.
Ocena ryzyka
Może to prowadzić do nieautoryzowanej modyfikacji danych, takiej jak zmiana danych uwierzytelniających, przez co atakujący może przejąć kontrolę nad kontem.
Rekomendacja
Zaktualizuj aplikację do wersji 19.76 lub nowszej, która zawiera poprawkę. Wdróż tokeny anty-CSRF dla wszystkich funkcji oraz rozważ wymuszanie nagłówka SameSite dla ciasteczek sesyjnych.
Inne podatności w Print Shop Pro WebDesk
Zobacz wszystkie- CVE-2025-61550Średnie
W edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 (poprawionej w 19.69) występuje podatność cross-site scripting (XSS) w parametrach ctl00_Content01_fieldValue na endpointcie /psp/appNet/TemplateOrder/TemplatePreview.aspx. Dane wejściowe użytkownika są przechowywane, a następnie renderowane w stronach HTML bez odpowiedniego kodowania lub sanityzacji, co pozwala atakującemu na trwałe wstrzyknięcie dowolnego JavaScriptu wykonującego się w kontekście sesji innych użytkowników.
- CVE-2025-61549Średnie
W edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 (poprawionej w 19.76) występuje podatność cross-site scripting (XSS) w parametrze LoginID na endpointcie /PSP/app/web/reg/reg_display.asp. Nieoczyszczone dane wejściowe użytkownika są odzwierciedlane w odpowiedziach HTTP bez odpowiedniego kodowania lub escapowania HTML, co pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) is present on all functions in edu Business Solutions Print Shop Pro WebDesk version 18.34 (fixed in 19.76). The application does not implement proper CSRF tokens or other other protective measures, allowing a remote attacker to trick authenticated users into unknowingly executing unintended actions within their session. This can lead to unauthorized data modification such as credential updates.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS