CVE-2025-67806
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Mechanizm logowania w Sage DPW 2021_06_004 zwraca różne odpowiedzi dla istniejących i nieistniejących nazw użytkowników, co umożliwia enumerację kont w wersjach przed 2021_06_000. W nowszych wersjach administratorzy on-premise mogą przełączyć to zachowanie.
Ocena ryzyka
Atakujący może ustalić listę prawidłowych nazw użytkowników, co ułatwia ataki siłowe i phishing. Wyciek informacji o kontach zwiększa ryzyko nieautoryzowanego dostępu do systemu.
Rekomendacja
Zaktualizuj Sage DPW do wersji 2021_06_000 lub nowszej i włącz ujednolicone odpowiedzi logowania. Rozważ wdrożenie dodatkowych mechanizmów ochrony przed atakami siłowymi.
Inne podatności w Sage DPW
Zobacz wszystkie- CVE-2025-67807Średnie
Mechanizm logowania w Sage DPW 2025_06_004 zwraca różne odpowiedzi dla istniejących i nieistniejących nazw użytkowników, co umożliwia enumerację kont w wersjach przed 2021_06_000. W nowszych wersjach administratorzy on-premise mogą przełączyć to zachowanie.
- CVE-2025-67805Średnie
W Sage DPW 2025_06_004 konfiguracja inna niż domyślna umożliwia nieuwierzytelniony dostęp do punktów końcowych diagnostycznych w funkcji Database Monitor, ujawniając wrażliwe informacje, takie jak hashe i nazwy tabel. Funkcja jest domyślnie wyłączona i niedostępna w Sage DPW Cloud, a w wersji 2025_06_003 została wymuszenie wyłączona.
Oryginalny opis (angielski, źródło NVD)
The login mechanism of Sage DPW 2021_06_004 displays distinct responses for valid and invalid usernames, allowing enumeration of existing accounts in versions before 2021_06_000. On-premise administrators can toggle this behavior in newer versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS