CVE-2025-67039

KrytyczneCVSS 9.8

Opublikowano: 11/03/2026(UTC)Zaktualizowano: 04/09/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 wykryto podatność umożliwiającą ominięcie uwierzytelniania na stronach zarządzania. Wystarczy dodać określony sufiks do adresu URL oraz wysłać nagłówek Authorization z nazwą użytkownika 'admin'.

Ocena ryzyka

Osoba atakująca może uzyskać nieautoryzowany dostęp do panelu administracyjnego urządzenia, co może prowadzić do przejęcia kontroli nad urządzeniem sieciowym i potencjalnego naruszenia bezpieczeństwa całej sieci.

Rekomendacja

Należy niezwłocznie zaktualizować oprogramowanie urządzenia Lantronix EDS3000PS do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych adresów IP.

Inne podatności w Lantronix EDS3000PS

CVE-2025-67041Wysokie
W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 odkryto podatność polegającą na braku odpowiedniego oczyszczania parametru hosta w kliencie TFTP na stronie Filesystem Browser. Można to wykorzystać do wyjścia z oryginalnego polecenia i wykonania dowolnego polecenia z uprawnieniami roota.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Lantronix EDS3000PS 3.1.0.0R2. The authentication on management pages can be bypassed by appending a specific suffix to the URL and by sending an Authorization header that uses "admin" as the username.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS