CVE-2025-70520
NieznaneStreszczenie
Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.
Ocena ryzyka
Nieuwierzytelniona osoba może uzyskać dostęp do poufnych informacji z urządzenia, w tym logów operacyjnych, co ułatwia dalsze ataki i narusza poufność danych.
Rekomendacja
Zaktualizuj firmware Fanvil x7a do wersji nowszej niż 2.6.0.1182 po udostępnieniu poprawki oraz ogranicz dostęp sieciowy do interfejsu websocket urządzenia.
Inne podatności w Fanvil x7a firmware
Zobacz wszystkie- CVE-2025-70522Nieznane
Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.
- CVE-2025-70521Nieznane
Narzędzie diagnostyczne ping w portalu zarządzania Fanvil x7a w wersji 2.6.0.1182 nie obsługuje bezpiecznie danych wprowadzanych przez użytkownika. Brak bezpiecznej walidacji danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć polecenia i uruchomić kod w systemie Android urządzenia.
- CVE-2025-70519Nieznane
Komponent dziennika urządzenia w Fanvil x7a w wersji 2.6.0.1182 nie sanityzuje ani nie koduje prawidłowo odzwierciedlanych danych wprowadzanych przez użytkownika. Brak sanityzacji pozwala na wstrzyknięcie kodu HTML, który może posłużyć do wykonania złośliwego kodu JavaScript w dowolnej przeglądarce renderującej komponent dziennika.
- CVE-2025-70517Nieznane
Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.
- CVE-2025-70516Nieznane
Obsługa websocketów w Fanvil x7a w wersji 2.6.0.1182 nie egzekwuje prawidłowych ograniczeń uwierzytelniania wobec użytkowników bez sesji. Brak tych ograniczeń pozwala każdemu na przeglądanie zasobów urządzenia, takich jak logi operacyjne, oraz wykonywanie żądań diagnostycznych.
- CVE-2025-70515Nieznane
Komponent dziennika urządzenia w firmware Fanvil x7a w wersji 2.6.0.1182 nieprawidłowo oczyszcza lub koduje dane pochodzące od użytkownika. Brak sanityzacji umożliwia wstrzyknięcie kodu HTML, co pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce wyświetlającej komponent dziennika.
Oryginalny opis (angielski, źródło NVD)
The websocket handler of Fanvil x7a firmware version 2.6.0.1182 does not enforce proper authentication restrictions against sessionless users. The lack of restrictions grants anyone the ability to view any device resources such as operational logs or perform diagnostic requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS