CVE-2025-6892
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W urządzeniach sieciowych i routerach Moxa występuje błąd autoryzacji w mechanizmie uwierzytelniania API. Po zalogowaniu legalnego użytkownika system nieprawidłowo weryfikuje kontekst sesji lub granice uprawnień, co pozwala na dostęp do chronionych punktów końcowych API i wykonywanie uprzywilejowanych operacji.
Ocena ryzyka
Atakujący może wykorzystać podatność do nieautoryzowanych operacji uprzywilejowanych, wpływając na poufność, integralność i dostępność urządzenia.
Rekomendacja
Zastosuj aktualizacje oprogramowania ukierunkowane na poprawę walidacji sesji i uprawnień w API zgodnie z zaleceniami Moxa. Ogranicz dostęp administracyjny do zaufanych sieci.
Inne podatności w Moxa network security appliances and routers
Zobacz wszystkie- CVE-2025-6950Krytyczne
W urządzeniach Moxa wykryto użycie zaszytych na stałe poświadczeń — system używa stałego klucza do podpisywania tokenów JWT. Nieuwierzytelniony atakujący może sfałszować ważne tokeny, ominąć uwierzytelnianie i podszyć się pod dowolnego użytkownika.
- CVE-2025-6949Krytyczne
W urządzeniach sieciowych Moxa występuje luka autoryzacji w API, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na utworzenie nowego konta administratora, w tym o nazwie istniejącego użytkownika. Może to prowadzić do pełnej kontroli administracyjnej nad urządzeniem i podszycia się pod konto.
- CVE-2025-6893Krytyczne
W urządzeniach Moxa wykryto błąd kontroli dostępu w punkcie końcowym /api/v1/setting/data. Użytkownik z niskimi uprawnieniami może wywołać API bez wymaganych uprawnień i uzyskać dostęp lub modyfikować dane konfiguracyjne systemu.
Oryginalny opis (angielski, źródło NVD)
An Incorrect Authorization vulnerability has been identified in Moxa’s network security appliances and routers. A flaw in the API authentication mechanism allows unauthorized access to protected API endpoints, including those intended for administrative functions. This vulnerability can be exploited after a legitimate user has logged in, as the system fails to properly validate session context or privilege boundaries. An attacker may leverage this flaw to perform unauthorized privileged operations. While successful exploitation can severely impact the confidentiality, integrity, and availability of the affected device itself, there is no loss of confidentiality or integrity within any subsequent systems.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS