CVE-2025-64298
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Instalacje NMIS/BioDose V22.02 i wcześniejsze, korzystające z wbudowanego Microsoft SQL Server Express, są narażone przez udział systemu Windows dostępny dla klientów w instalacjach sieciowych. Domyślnie ten katalog ma niebezpieczne ścieżki, które umożliwiają dostęp do bazy danych SQL i plików konfiguracyjnych, mogących zawierać wrażliwe dane.
Ocena ryzyka
Nieautoryzowani użytkownicy sieci mogą uzyskać dostęp do wrażliwych danych przechowywanych w bazie danych i plikach konfiguracyjnych, co może prowadzić do wycieku informacji lub naruszenia integralności systemu.
Rekomendacja
Zabezpiecz udziały sieciowe, ograniczając dostęp tylko do zaufanych użytkowników. Zmień domyślne ścieżki katalogów i rozważ przeniesienie bazy danych do bezpieczniejszej lokalizacji.
Inne podatności w NMIS/BioDose
Zobacz wszystkie- CVE-2025-64778Wysokie
Oprogramowanie NMIS/BioDose w wersji V22.02 i wcześniejszych zawiera pliki wykonywalne z zakodowanymi na stałe hasłami w postaci zwykłego tekstu. Te zakodowane hasła mogą umożliwić nieautoryzowany dostęp zarówno do aplikacji, jak i do bazy danych.
- CVE-2025-64642Wysokie
W NMIS/BioDose V22.02 i wcześniejszych wersjach domyślne uprawnienia do katalogów instalacyjnych są niebezpieczne, co w niektórych scenariuszach wdrożenia może umożliwić użytkownikom na stacjach klienckich modyfikację plików wykonywalnych i bibliotek programu.
- CVE-2025-62575Wysokie
NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta z bazy danych Microsoft SQL Server. Domyślne konto użytkownika SQL 'nmdbuser' oraz inne tworzone konta mają przypisaną rolę sysadmin.
- CVE-2025-61940Wysokie
NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta ze wspólnego konta użytkownika SQL Server do dostępu do danych w bazie. Dostęp użytkownika w aplikacji klienckiej jest ograniczony przez sprawdzanie hasła w oprogramowaniu klienckim, ale połączenie z bazą danych zawsze ma pełny dostęp. Najnowsza wersja wprowadza opcję uwierzytelniania użytkownika Windows w bazie danych, co ograniczyłoby to połączenie.
Oryginalny opis (angielski, źródło NVD)
NMIS/BioDose V22.02 and previous version installations where the embedded Microsoft SQLServer Express is used are exposed in the Windows share accessed by clients in networked installs. By default, this directory has insecure directory paths that allow access to the SQL Server database and configuration files, which can contain sensitive data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS