BDU:2025-11514

Опубликовано: 17 сент. 2025

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость компонента AjaxProxy программного обеспечения управления ИТ-инфраструктурой SolarWinds Web Help Desk (WHD) связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Вендор

SolarWinds Inc.

Наименование ПО

SolarWinds Web Help Desk

Версия ПО

до 12.8.7 HF1 (SolarWinds Web Help Desk)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа к программному обеспечению из внешних сетей (Интернет).

Использование рекомендаций:

https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_12-8-7-hotfix-1_release_notes.htm

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-26399
CVE

EPSS

Процентиль: 94%

0.12863

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-26399

CVSS3: 9.8

nvd

5 месяцев назад

SolarWinds Web Help Desk was found to be susceptible to an unauthenticated AjaxProxy deserialization remote code execution vulnerability that, if exploited, would allow an attacker to run commands on the host machine. This vulnerability is a patch bypass of CVE-2024-28988, which in turn is a patch bypass of CVE-2024-28986.

GHSA-vfrj-f292-3f24

CVSS3: 9.8

github

5 месяцев назад

EPSS

Процентиль: 94%

0.12863

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2