CVE-2025-62575
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta z bazy danych Microsoft SQL Server. Domyślne konto użytkownika SQL 'nmdbuser' oraz inne tworzone konta mają przypisaną rolę sysadmin.
Ocena ryzyka
Może to prowadzić do zdalnego wykonania kodu poprzez wykorzystanie określonych wbudowanych procedur składowanych.
Rekomendacja
Należy zmienić domyślne uprawnienia kont SQL, usuwając rolę sysadmin z kont takich jak 'nmdbuser', oraz zastosować zasadę najmniejszych uprawnień.
Inne podatności w NMIS/BioDose
Zobacz wszystkie- CVE-2025-64778Wysokie
Oprogramowanie NMIS/BioDose w wersji V22.02 i wcześniejszych zawiera pliki wykonywalne z zakodowanymi na stałe hasłami w postaci zwykłego tekstu. Te zakodowane hasła mogą umożliwić nieautoryzowany dostęp zarówno do aplikacji, jak i do bazy danych.
- CVE-2025-64642Wysokie
W NMIS/BioDose V22.02 i wcześniejszych wersjach domyślne uprawnienia do katalogów instalacyjnych są niebezpieczne, co w niektórych scenariuszach wdrożenia może umożliwić użytkownikom na stacjach klienckich modyfikację plików wykonywalnych i bibliotek programu.
- CVE-2025-64298Wysokie
Instalacje NMIS/BioDose V22.02 i wcześniejsze, korzystające z wbudowanego Microsoft SQL Server Express, są narażone przez udział systemu Windows dostępny dla klientów w instalacjach sieciowych. Domyślnie ten katalog ma niebezpieczne ścieżki, które umożliwiają dostęp do bazy danych SQL i plików konfiguracyjnych, mogących zawierać wrażliwe dane.
- CVE-2025-61940Wysokie
NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta ze wspólnego konta użytkownika SQL Server do dostępu do danych w bazie. Dostęp użytkownika w aplikacji klienckiej jest ograniczony przez sprawdzanie hasła w oprogramowaniu klienckim, ale połączenie z bazą danych zawsze ma pełny dostęp. Najnowsza wersja wprowadza opcję uwierzytelniania użytkownika Windows w bazie danych, co ograniczyłoby to połączenie.
Oryginalny opis (angielski, źródło NVD)
NMIS/BioDose V22.02 and previous versions rely on a Microsoft SQL Server database. The SQL user account 'nmdbuser' and other created accounts by default have the sysadmin role. This can lead to remote code execution through the use of certain built-in stored procedures.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS