CVE-2025-8078

WysokieCVSS 7.2

Opublikowano: 21/10/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.45%

Percentyl 73 - wyżej niż 73% wszystkich znanych CVE

Streszczenie

Podatność na wstrzyknięcie poleceń po uwierzytelnieniu w firmach Zyxel ATP (wersje V4.32–V5.40), USG FLEX (V4.50–V5.40), USG FLEX 50(W) (V4.16–V5.40) i USG20(W)-VPN (V4.16–V5.40) pozwala uwierzytelnionemu atakującemu z uprawnieniami administratora na wykonanie poleceń systemu operacyjnego poprzez przekazanie spreparowanego ciągu jako argumentu do polecenia CLI.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wykonać dowolne polecenia w systemie, co może prowadzić do pełnego przejęcia urządzenia i dalszej eskalacji w sieci.

Rekomendacja

Należy zaktualizować oprogramowanie układowe do najnowszej wersji zawierającej poprawkę i ograniczyć dostęp administracyjny do zaufanych sieci.

Inne podatności w Zyxel ATP/USG FLEX/USG20(W)-VPN firmware

CVE-2025-9133Wysokie
Luka w autoryzacji w firmware Zyxel ATP (V4.32–V5.40), USG FLEX (V4.50–V5.40), USG FLEX 50(W) (V4.16–V5.40) i USG20(W)-VPN (V4.16–V5.40) pozwala półuwierzytelnionemu atakującemu, który ukończył tylko pierwszy etap 2FA, na przeglądanie i pobranie konfiguracji systemu z urządzenia.

Oryginalny opis (angielski, źródło NVD)

A post-authentication command injection vulnerability in Zyxel ATP series firmware versions from V4.32 through V5.40, USG FLEX series firmware versions from V4.50 through V5.40, USG FLEX 50(W) series firmware versions from V4.16 through V5.40, and USG20(W)-VPN series firmware versions from V4.16 through V5.40 could allow an authenticated attacker with administrator privileges to execute operating system (OS) commands on the affected device by passing a crafted string as an argument to a CLI command.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS