CVE-2025-15559
Təsvir
Autentifikasiya olunmamış hücumçu NesterSoft WorkTime-da server API son nöqtəsini çağırarkən ƏS əmrlərini inyeksiya edə bilər. WorkTime serverindən WorkTime klientini yaratmaq və yükləmək üçün edilən server API çağırışı “guid” parametrində zəifliyə malikdir. Bu, hücumçuya WorkTime serverində NT Authority\SYSTEM olaraq ən yüksək imtiyazlarla ixtiyari əmrləri icra etməyə imkan verir. Hücumçular həssas məlumatlara daxil ola, onları manipulyasiya edə və bütün serveri ələ keçirə bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nestersoft worktime | v ≤ 11.8.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.