CVE-2025-62604
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W MeterSphere przed wersją 2.10.25-lts występuje luka logiczna pozwalająca na pobranie dowolnych informacji o użytkowniku. Umożliwia to nieuwierzytelnionemu atakującemu zalogowanie się do systemu jako dowolny użytkownik. Podatność naprawiono w wersji 2.10.25-lts.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konto dowolnego użytkownika, w tym administratora, uzyskując pełny dostęp do platformy testowej i jej danych.
Rekomendacja
Zaktualizuj MeterSphere do wersji 2.10.25-lts lub nowszej. Do czasu aktualizacji ogranicz dostęp sieciowy do instancji.
Inne podatności w MeterSphere
Zobacz wszystkie- CVE-2023-37461Średnie
Metersphere to otwartoźródłowy framework testowy, który pozwala na przesyłanie plików z wartością `belongType` zawierającą względną ścieżkę, co może prowadzić do nadpisania istniejącego pliku lub utworzenia nowego. Atakujący mogą nadpisywać jedynie pliki, do których proces Metersphere ma dostęp.
- CVE-2023-35937Średnie
Metersphere to otwartoźródłowa platforma do ciągłego testowania. W wersjach przed 2.10.2 LTS niektóre kluczowe API w Metersphere nie mają kontroli uprawnień, co pozwala zwykłym użytkownikom na wykonywanie operacji zarezerwowanych dla administratorów przestrzeni lub projektów.
Oryginalny opis (angielski, źródło NVD)
MeterSphere is an open source continuous testing platform. Prior to version 2.10.25-lts, a logic flaw allows retrieval of arbitrary user information. This allows an unauthenticated attacker to log in to the system as any user. This issue has been patched in version 2.10.25-lts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS