Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-13532

Опубликовано: 23 окт. 2025
Источник: fstec
CVSS3: 3.5
CVSS2: 4
EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения маршрутизаторов Moxa серии TN-4500A, TN-5500A, TN-G4500 и TN-G6500 связана с недостаточной проверкой подлинности данных при обработке HTTP-заголовков. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, внедрять недействительные заголовки узла для перенаправления пользователей на другой сайт путем отправки специально сформированного HTTP-запроса

Вендор

Moxa Inc.

Наименование ПО

TN-4500A
TN-5500A
TN-G4500
TN-G6500

Версия ПО

до 3.13 включительно (TN-4500A)
до 3.13 включительно (TN-5500A)
до 5.5 включительно (TN-G4500)
до 5.5 включительно (TN-G6500)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)
Низкий уровень опасности (базовая оценка CVSS 3.1 составляет 3,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://www.moxa.com/en/support/product-support/security-advisory/mpsa-257421-cve-2025-1679,-cve-2025-1680-stored-cross-site-scripting-(xss)-and-host-header-injection-vulnerabilities-in

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 7%
0.00028
Низкий

3.5 Low

CVSS3

4 Medium

CVSS2

Связанные уязвимости

nvd
4 месяца назад

An acceptance of extraneous untrusted data with trusted data vulnerability has been identified in Moxa’s Ethernet switches, which allows attackers with administrative privileges to manipulate HTTP Host headers by injecting a specially crafted Host header into HTTP requests sent to an affected device’s web service. This vulnerability is classified as Host Header Injection, where invalid Host headers can manipulate to redirect users, forge links, or phishing attacks. There is no impact to the confidentiality, integrity, and availability of the affected device; no loss of confidentiality, integrity, and availability within any subsequent systems.

github
4 месяца назад

An acceptance of extraneous untrusted data with trusted data vulnerability has been identified in Moxa’s Ethernet switches, which allows attackers with administrative privileges to manipulate HTTP Host headers by injecting a specially crafted Host header into HTTP requests sent to an affected device’s web service. This vulnerability is classified as Host Header Injection, where invalid Host headers can manipulate to redirect users, forge links, or phishing attacks. There is no impact to the confidentiality, integrity, and availability of the affected device; no loss of confidentiality, integrity, and availability within any subsequent systems.

EPSS

Процентиль: 7%
0.00028
Низкий

3.5 Low

CVSS3

4 Medium

CVSS2