CVE-2025-64778
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Oprogramowanie NMIS/BioDose w wersji V22.02 i wcześniejszych zawiera pliki wykonywalne z zakodowanymi na stałe hasłami w postaci zwykłego tekstu. Te zakodowane hasła mogą umożliwić nieautoryzowany dostęp zarówno do aplikacji, jak i do bazy danych.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do aplikacji i bazy danych, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową zmianę wszystkich zakodowanych haseł na bezpieczne mechanizmy uwierzytelniania oraz aktualizację oprogramowania do najnowszej wersji.
Inne podatności w NMIS/BioDose
Zobacz wszystkie- CVE-2025-64642Wysokie
W NMIS/BioDose V22.02 i wcześniejszych wersjach domyślne uprawnienia do katalogów instalacyjnych są niebezpieczne, co w niektórych scenariuszach wdrożenia może umożliwić użytkownikom na stacjach klienckich modyfikację plików wykonywalnych i bibliotek programu.
- CVE-2025-64298Wysokie
Instalacje NMIS/BioDose V22.02 i wcześniejsze, korzystające z wbudowanego Microsoft SQL Server Express, są narażone przez udział systemu Windows dostępny dla klientów w instalacjach sieciowych. Domyślnie ten katalog ma niebezpieczne ścieżki, które umożliwiają dostęp do bazy danych SQL i plików konfiguracyjnych, mogących zawierać wrażliwe dane.
- CVE-2025-62575Wysokie
NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta z bazy danych Microsoft SQL Server. Domyślne konto użytkownika SQL 'nmdbuser' oraz inne tworzone konta mają przypisaną rolę sysadmin.
- CVE-2025-61940Wysokie
NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta ze wspólnego konta użytkownika SQL Server do dostępu do danych w bazie. Dostęp użytkownika w aplikacji klienckiej jest ograniczony przez sprawdzanie hasła w oprogramowaniu klienckim, ale połączenie z bazą danych zawsze ma pełny dostęp. Najnowsza wersja wprowadza opcję uwierzytelniania użytkownika Windows w bazie danych, co ograniczyłoby to połączenie.
Oryginalny opis (angielski, źródło NVD)
NMIS/BioDose software V22.02 and previous versions contain executable binaries with plain text hard-coded passwords. These hard-coded passwords could allow unauthorized access to both the application and database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS