CVE-2025-8711
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Ivanti Connect Secure (przed 22.7R2.9 lub 22.8R2), Ivanti Policy Secure (przed 22.7R1.6), Ivanti ZTA Gateway (przed 2.8R2.3-723) oraz Ivanti Neurons for Secure Access (przed 22.8R1.4) występuje podatność CSRF. Zdalny nieuwierzytelniony atakujący może wykonać ograniczone akcje w imieniu ofiary, co wymaga interakcji użytkownika.
Ocena ryzyka
Atakujący może nakłonić zalogowanego użytkownika do wykonania niechcianych akcji w aplikacji, co może prowadzić do nieautoryzowanych zmian konfiguracji.
Rekomendacja
Zaktualizuj produkty Ivanti do wskazanych wersji lub nowszych oraz wdrożono poprawkę dla Neurons for Secure Access z 02.08.2025.
Inne podatności w Ivanti Connect Secure / Policy Secure / ZTA Gateway / Neurons for Secure Access
Zobacz wszystkie- CVE-2025-55147Wysokie
W produktach Ivanti Connect Secure, Policy Secure, ZTA Gateway i Neurons for Secure Access występuje podatność CSRF. Zdalny nieuwierzytelniony atakujący może wykonać wrażliwe akcje w imieniu ofiary, wymagana jest interakcja użytkownika.
- CVE-2025-55144Średnie
W produktach Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 oraz Ivanti Neurons for Secure Access przed 22.8R1.4 występuje brak autoryzacji. Zdalny uwierzytelniony atakujący z uprawnieniami administratora tylko do odczytu może konfigurować zastrzeżone ustawienia.
- CVE-2025-55143Średnie
W Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 oraz Ivanti Neurons for Secure Access przed 22.8R1.4 występuje odbita iniekcja tekstu. Zdalny nieuwierzytelniony atakujący może wstrzyknąć dowolny tekst do spreparowanej odpowiedzi HTTP, wymagana jest interakcja użytkownika.
- CVE-2025-55139Średnie
Podatność SSRF w Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 i Ivanti Neurons for Secure Access przed 22.8R1.4 (poprawka wdrożona 02.08.2025) pozwala zdalnemu uwierzytelnionemu atakującemu z uprawnieniami administratora na wyliczanie usług wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
CSRF in Ivanti Connect Secure before 22.7R2.9 or 22.8R2, Ivanti Policy Secure before 22.7R1.6, Ivanti ZTA Gateway before 2.8R2.3-723 and Ivanti Neurons for Secure Access before 22.8R1.4 (Fix deployed on 02-Aug-2025) allows a remote unauthenticated attacker to execute limited actions on behalf of the victim user. User interaction is required.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS