CVE-2025-62586
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
OPEXUS FOIAXpress pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zresetowanie hasła administratora. Podatność została naprawiona w wersji 11.13.2.0.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć kontrolę nad kontem administratora, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację FOIAXpress do wersji 11.13.2.0 lub nowszej.
Inne podatności w OPEXUS FOIAXpress
Zobacz wszystkie- CVE-2025-58462Krytyczne
OPEXUS FOIAXpress Public Access Link (PAL) przed wersją 11.13.1.0 pozwala na wstrzyknięcie SQL przez SearchPopularDocs.aspx. Zdalny, nieuwierzytelniony atakujący może odczytać, zapisać lub usunąć dowolną zawartość w bazie danych.
- CVE-2025-61999Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu przesłanie JavaScript lub innej zawartości osadzonej w obrazie SVG używanym jako logo. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy przeglądają dotknięte strony. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61998Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu wstrzyknięcie JavaScript lub innej zawartości jako adresu URL w Menedżerze linków pomocy technicznej. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy klikną złośliwy link. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61997Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w polu przesyłania obrazu banera Annual Report Enterprise. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
- CVE-2025-61996Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w szablonie Annual Report Template. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
OPEXUS FOIAXpress allows a remote, unauthenticated attacker to reset the administrator password. Fixed in FOIAXpress version 11.13.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS