CVE-2025-6893
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W urządzeniach Moxa wykryto błąd kontroli dostępu w punkcie końcowym /api/v1/setting/data. Użytkownik z niskimi uprawnieniami może wywołać API bez wymaganych uprawnień i uzyskać dostęp lub modyfikować dane konfiguracyjne systemu.
Ocena ryzyka
Może dojść do eskalacji uprawnień i modyfikacji wrażliwych ustawień systemowych, co stanowi wysoki wpływ na urządzenie.
Rekomendacja
Należy zainstalować aktualizację firmware Moxa naprawiającą kontrolę dostępu oraz weryfikować uprawnienia użytkowników API.
Inne podatności w Moxa network security appliances and routers
Zobacz wszystkie- CVE-2025-6950Krytyczne
W urządzeniach Moxa wykryto użycie zaszytych na stałe poświadczeń — system używa stałego klucza do podpisywania tokenów JWT. Nieuwierzytelniony atakujący może sfałszować ważne tokeny, ominąć uwierzytelnianie i podszyć się pod dowolnego użytkownika.
- CVE-2025-6949Krytyczne
W urządzeniach sieciowych Moxa występuje luka autoryzacji w API, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na utworzenie nowego konta administratora, w tym o nazwie istniejącego użytkownika. Może to prowadzić do pełnej kontroli administracyjnej nad urządzeniem i podszycia się pod konto.
Oryginalny opis (angielski, źródło NVD)
An Execution with Unnecessary Privileges vulnerability has been identified in Moxa’s network security appliances and routers. A flaw in broken access control has been identified in the /api/v1/setting/data endpoint of the affected device. This flaw allows a low-privileged authenticated user to call the API without the required permissions, thereby gaining the ability to access or modify system configuration data. Successful exploitation may lead to privilege escalation, allowing the attacker to access or modify sensitive system settings. While the overall impact is high, there is no loss of confidentiality or integrity within any subsequent systems.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS