CVE-2025-7204
Açıklama
ConnectWise PSA'nın 2025.9 öncesi sürümlerinde, kimliği doğrulanmış kullanıcıların hassas kullanıcı bilgilerine erişebileceği bir güvenlik açığı bulunmaktadır. Belirli API isteklerinin, diğer kullanıcılara ait şifrelenmiş parola özetlerini (hash) içeren aşırı ayrıntılı bir kullanıcı nesnesi döndürdüğü tespit edilmiştir. Kimliği doğrulanmış kullanıcılar bu özetleri geri alabilmektedir. Bir saldırgan veya ayrıcalıklı kullanıcı, ifşa olan bu özetleri çevrimdışı kaba kuvvet (brute-force) veya sözlük saldırıları gerçekleştirmek için kullanabilir. Bu tür saldırılar, kimlik bilgilerinin ele geçirilmesine yol açarak hesaplara yetkisiz erişim sağlanmasına ve potansiyel olarak sistem içinde yetki yükseltmeye neden olabilir.
Nasıl düzeltilir
- connectwise professional_service_automation2025.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| connectwise professional_service_automation | v < 2025.9 | 2025.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.