CVE-2025-62651
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Platforma asystenta Restaurant Brands International (RBI) do dnia 2025-09-06 nie implementuje kontroli dostępu dla interfejsu oceny łazienek. Oznacza to, że każdy użytkownik może uzyskać dostęp do tego interfejsu bez autoryzacji.
Ocena ryzyka
Brak kontroli dostępu może umożliwić nieautoryzowanym użytkownikom manipulowanie ocenami łazienek, co może prowadzić do fałszywych danych, zakłócenia działania lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie wdrożyć odpowiednią kontrolę dostępu dla interfejsu oceny łazienek, np. uwierzytelnianie i autoryzację opartą na rolach. Zaleca się również audyt systemu w celu wykrycia ewentualnych nadużyć.
Inne podatności w RBI assistant platform
Zobacz wszystkie- CVE-2025-62645Krytyczne
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać token z uprawnieniami administracyjnymi dla całej platformy poprzez mutację GraphQL createToken.
- CVE-2025-62650Wysokie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta w celu korzystania z ekranu diagnostycznego.
- CVE-2025-62649Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta przy składaniu zamówień na sprzęt. Oznacza to, że kontrola dostępu może być łatwo ominięta.
- CVE-2025-62648Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 umożliwia zdalnym atakującym regulację głośności audio głośników Drive Thru.
- CVE-2025-62647Średnie
Platforma asystencka Restaurant Brands International (RBI) do 2025-09-06 umożliwia zwrócenie JWT, który może być użyty do wywołania API w celu uzyskania podpisanego URL-a do przesyłania plików do AWS dla ścieżki dowolnego sklepu.
- CVE-2025-62646Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnym atakującym na przeglądanie zapisanych nagrań audio rozmów między pracownikami a klientami Drive Thru. Może to prowadzić do naruszenia prywatności.
- CVE-2025-62644Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada Global Store Directory, który udostępnia dane osobowe pomiędzy uwierzytelnionymi użytkownikami. Luka polega na niewłaściwym udostępnianiu informacji osobistych wśród zalogowanych użytkowników.
- CVE-2025-62642Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada API rejestracji 'Anyone Can Join This Party', które nie weryfikuje tworzenia kont użytkowników, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na utworzenie konta użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Restaurant Brands International (RBI) assistant platform through 2025-09-06 does not implement access control for the bathroom rating interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS