CVE-2025-62649
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta przy składaniu zamówień na sprzęt. Oznacza to, że kontrola dostępu może być łatwo ominięta.
Ocena ryzyka
Atakujący może nieautoryzowanie składać zamówienia na sprzęt, co może prowadzić do strat finansowych lub nieautoryzowanych działań.
Rekomendacja
Należy wdrożyć uwierzytelnianie i autoryzację po stronie serwera dla wszystkich operacji związanych z zamówieniami.
Inne podatności w RBI assistant platform
Zobacz wszystkie- CVE-2025-62645Krytyczne
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać token z uprawnieniami administracyjnymi dla całej platformy poprzez mutację GraphQL createToken.
- CVE-2025-62651Średnie
Platforma asystenta Restaurant Brands International (RBI) do dnia 2025-09-06 nie implementuje kontroli dostępu dla interfejsu oceny łazienek. Oznacza to, że każdy użytkownik może uzyskać dostęp do tego interfejsu bez autoryzacji.
- CVE-2025-62650Wysokie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta w celu korzystania z ekranu diagnostycznego.
- CVE-2025-62648Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 umożliwia zdalnym atakującym regulację głośności audio głośników Drive Thru.
- CVE-2025-62647Średnie
Platforma asystencka Restaurant Brands International (RBI) do 2025-09-06 umożliwia zwrócenie JWT, który może być użyty do wywołania API w celu uzyskania podpisanego URL-a do przesyłania plików do AWS dla ścieżki dowolnego sklepu.
- CVE-2025-62646Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnym atakującym na przeglądanie zapisanych nagrań audio rozmów między pracownikami a klientami Drive Thru. Może to prowadzić do naruszenia prywatności.
- CVE-2025-62644Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada Global Store Directory, który udostępnia dane osobowe pomiędzy uwierzytelnionymi użytkownikami. Luka polega na niewłaściwym udostępnianiu informacji osobistych wśród zalogowanych użytkowników.
- CVE-2025-62642Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada API rejestracji 'Anyone Can Join This Party', które nie weryfikuje tworzenia kont użytkowników, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na utworzenie konta użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Restaurant Brands International (RBI) assistant platform through 2025-09-06 relies on client-side authentication for submission of equipment orders.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS