BDU:2025-05718

Опубликовано: 14 мая 2025

Источник: fstec

CVSS3: 6.5

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость конфигурации GlobalProtect Gateway и GlobalProtect Portal операционной системы PAN-OS связана с недостаточной защитой структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить межсайтовые сценарные атаки

Вендор

Palo Alto Networks Inc.

Наименование ПО

Prisma Access

Cloud NGFW

PAN-OS

Версия ПО

- (Prisma Access)

- (Cloud NGFW)

от 11.2 до 11.2.7 (PAN-OS)

от 11.1 до 11.1.11 (PAN-OS)

от 10.1 до 10.2.17 (PAN-OS)

Тип ПО

ПО виртуализации/ПО виртуального программно-аппаратного средства

Средство защиты

Операционная система

Операционные системы и аппаратные платформы

Palo Alto Networks Inc. PAN-OS от 11.2 до 11.2.7

Palo Alto Networks Inc. PAN-OS от 11.1 до 11.1.11

Palo Alto Networks Inc. PAN-OS от 10.1 до 10.2.17

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Средний уровень опасности (оценка CVSS 4.0 составляет 6,9)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://security.paloaltonetworks.com/CVE-2025-0133

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-0133
CVE

EPSS

Процентиль: 89%

0.04864

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2025-0133

nvd

9 месяцев назад

A reflected cross-site scripting (XSS) vulnerability in the GlobalProtect™ gateway and portal features of Palo Alto Networks PAN-OS® software enables execution of malicious JavaScript in the context of an authenticated Captive Portal user's browser when they click on a specially crafted link. The primary risk is phishing attacks that can lead to credential theft—particularly if you enabled Clientless VPN. There is no availability impact to GlobalProtect features or GlobalProtect users. Attackers cannot use this vulnerability to tamper with or modify contents or configurations of the GlobalProtect portal or gateways. The integrity impact of this vulnerability is limited to enabling an attacker to create phishing and credential-stealing links that appear to be hosted on the GlobalProtect portal. For GlobalProtect users with Clientless VPN enabled, there is a limited impact on confidentiality due to inherent risks of Clientless VPN that facilitate credential theft. You can read m

GHSA-r93p-9jjr-wjhj

github