CVE-2025-61959

ŚrednieCVSS 5.3

Opublikowano: 29/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Przed 19 września 2025 roku Hospital Manager Backend Services zwracał szczegółowe strony błędów ASP.NET dla nieprawidłowych żądań WebResource.axd, ujawniając informacje o frameworku i wersji ASP.NET, ślady stosu, wewnętrzne ścieżki oraz niebezpieczną konfigurację 'customErrors mode="Off"', co mogło ułatwić rozpoznanie przez nieuwierzytelnionych atakujących.

Ocena ryzyka

Ryzyko polega na ujawnieniu wrażliwych informacji technicznych, które mogą pomóc atakującym w planowaniu dalszych ataków. Może to prowadzić do zwiększonej skuteczności ataków na system.

Rekomendacja

Zaleca się skonfigurowanie strony błędów tak, aby nie ujawniały szczegółów technicznych, oraz włączenie trybu customErrors mode="On" lub "RemoteOnly". Należy również rozważyć aktualizację systemu do wersji, która zawiera poprawkę.

Inne podatności w Hospital Manager Backend Services

CVE-2025-54459Wysokie
Przed 19 września 2025 roku Hospital Manager Backend Services udostępniał punkt końcowy ASP.NET tracing /trace.axd bez uwierzytelnienia, co pozwalało zdalnemu atakującemu uzyskać ślady żądań na żywo oraz wrażliwe informacje, takie jak metadane żądań, identyfikatory sesji, nagłówki autoryzacji, zmienne serwera i wewnętrzne ścieżki plików.

Oryginalny opis (angielski, źródło NVD)

Prior to September 19, 2025, the Hospital Manager Backend Services returned verbose ASP.NET error pages for invalid WebResource.axd requests, disclosing framework and ASP.NET version information, stack traces, internal paths, and the insecure configuration 'customErrors mode="Off"', which could have facilitated reconnaissance by unauthenticated attackers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS