BDU:2025-06622

Опубликовано: 06 янв. 2025

Источник: fstec

CVSS3: 9.3

CVSS2: 8.5

EPSS Средний

Описание

Уязвимость метода com.ilient.agentApi.LshwAgent#doPost программного обеспечения автоматизации службы поддержки и контроля аппаратного и программного обеспечения SysAid связана с неверным ограничением XML-ссылок на внешние объекты при обработке конечной точки /lshw. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить XXE-атаки

Вендор

SysAid

Наименование ПО

SysAid

Версия ПО

до 23.3.40 включительно (SysAid)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,3)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://documentation.sysaid.com/docs/24-40-60

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-2777
CVE

EPSS

Процентиль: 94%

0.14457

Средний

9.3 Critical

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVE-2025-2777

CVSS3: 9.3

nvd

около 1 месяца назад

SysAid On-Prem versions <= 23.3.40 are vulnerable to an unauthenticated XML External Entity (XXE) vulnerability in the lshw processing functionality, allowing for administrator account takeover and file read primitives.

GHSA-hxv5-fpm3-vhqh

CVSS3: 9.3

github

около 1 месяца назад

EPSS

Процентиль: 94%

0.14457

Средний

9.3 Critical

CVSS3

8.5 High

CVSS2