CVE-2025-61933
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W nieujawnionej stronie BIG-IP APM istnieje podatność typu reflected cross-site scripting (XSS), która pozwala atakującemu na uruchomienie kodu JavaScript w kontekście zalogowanego użytkownika. Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, danych logowania lub innych działań w kontekście użytkownika.
Rekomendacja
Zaktualizuj BIG-IP APM do najnowszej wersji zawierającej poprawkę i unikaj korzystania z wersji, które osiągnęły koniec wsparcia technicznego.
Inne podatności w BIG-IP APM
Zobacz wszystkie- CVE-2026-94127KrytyczneAktywnie exploitowane
Gdy na serwerze wirtualnym BIG-IP skonfigurowane są jednocześnie polityka dostępu APM oraz profil OAuth, specjalnie spreparowany ruch może doprowadzić do zdalnego wykonania kodu (RCE). Podatność występuje wyłącznie, gdy BIG-IP APM działa jako serwer autoryzacji OAuth; wdrożenia używające APM wyłącznie jako klienta/serwera zasobów OAuth nie są narażone.
- CVE-2026-40067Wysokie
Podatność w BIG-IP APM powoduje, że nieokreślony ruch może doprowadzić do zatrzymania procesu apmd, gdy polityka dostępu APM jest skonfigurowana na wirtualnym serwerze.
- CVE-2025-61960Wysokie
Gdy polityka per-request jest skonfigurowana na wirtualnym serwerze portalu dostępowego BIG-IP APM, nieujawniony ruch może spowodować zakończenie działania Traffic Management Microkernel (TMM). Uwaga: wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.
- CVE-2025-54854Wysokie
Gdy profil dostępu OAuth BIG-IP APM (Resource Server lub Resource Client) jest skonfigurowany na serwerze wirtualnym, nieujawniony ruch może spowodować zakończenie procesu apmd.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability exists in an undisclosed page of BIG-IP APM that allows an attacker to run JavaScript in the context of the targeted logged-out user. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS