Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-13988

Опубликовано: 31 окт. 2025
Источник: fstec
CVSS3: 7.2
CVSS2: 9
EPSS Низкий

Описание

Уязвимость функции AppManagementController.appUpgradeAction() программного обеспечения удаленного мониторинга с возможностями виртуальной частной сети Advantech WebAccess/VPN существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды от имени пользователя веб-сервера (www-data) путем передачи специально созданного имени файла

Вендор

Advantech Co., Ltd

Наименование ПО

Advantech WebAccess/VPN

Версия ПО

до 1.1.5 (Advantech WebAccess/VPN)

Тип ПО

Средство АСУ ТП

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,2)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,6)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://icr.advantech.com/support/router-models/download/511/sa-2025-01-vpn-portal-2025-11-06.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 47%
0.00242
Низкий

7.2 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVSS3: 7.2
nvd
3 месяца назад

Advantech WebAccess/VPN versions prior to 1.1.5 contain a command injection vulnerability in AppManagementController.appUpgradeAction() that allows an authenticated system administrator to execute arbitrary commands as the web server user (www-data) by supplying a crafted uploaded filename.

CVSS3: 7.2
github
3 месяца назад

Advantech WebAccess/VPN versions prior to 1.1.5 contain a command injection vulnerability in AppManagementController.appUpgradeAction() that allows an authenticated system administrator to execute arbitrary commands as the web server user (www-data) by supplying a crafted uploaded filename.

EPSS

Процентиль: 47%
0.00242
Низкий

7.2 High

CVSS3

9 Critical

CVSS2