CVE-2025-66483
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 sesja nie jest unieważniana po zresetowaniu hasła, co może pozwolić uwierzytelnionemu użytkownikowi na podszywanie się pod innego użytkownika w systemie.
Ocena ryzyka
Uwierzytelniony użytkownik może wykorzystać nieunieważnioną sesję do przejęcia tożsamości innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych lub działań w systemie.
Rekomendacja
Zaleca się aktualizację IBM Aspera Shares do wersji nowszej niż 1.11.0, która zawiera poprawkę unieważniania sesji po zmianie hasła. Należy również rozważyć wdrożenie mechanizmów monitorowania sesji.
Inne podatności w IBM Aspera Shares
Zobacz wszystkie- CVE-2025-66487Niskie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 nie ogranicza odpowiednio częstotliwości wysyłania wiadomości e-mail przez uwierzytelnionego użytkownika, co może prowadzić do zalewania skrzynki e-mailowej lub ataku DoS.
- CVE-2025-66486Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 jest podatny na wstrzykiwanie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny.
- CVE-2025-66485Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 jest podatny na wstrzykiwanie nagłówków HTTP z powodu niewłaściwej walidacji nagłówka HOST. Atakujący może przeprowadzić różne ataki, takie jak cross-site scripting, cache poisoning lub przejęcie sesji.
- CVE-2025-66484Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 jest podatny na przechowywany cross-site scripting. Podatność ta pozwala użytkownikom na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2025-13916Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 używa słabszych niż oczekiwano algorytmów kryptograficznych, co może pozwolić atakującemu na odszyfrowanie bardzo wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Shares 1.9.9 through 1.11.0 does not invalidate session after a password reset which could allow an authenticated user to impersonate another user on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS