CVE-2025-12001

Atakujący może dostarczyć złośliwie spreparowany manifest aplikacji, który nie jest odpowiednio walidowany ani oczyszczany przez oprogramowanie urządzenia. W wyniku nieprawidłowego przetwarzania danych wejściowych (CWE-20) złośliwy skrypt zostaje trwale zapisany w systemie (stored XSS, CWE-79) i jest wykonywany w kontekście przeglądarki ofiary przy każdym wyświetleniu zainfekowanej treści. Brak interakcji użytkownika po stronie atakującego oraz brak wymaganych uprawnień sprawiają, że atak może być przeprowadzony zdalnie i w pełni automatycznie.

Atakujący może wykonywać arbitralny kod JavaScript w kontekście sesji zalogowanego użytkownika, co może prowadzić do przejęcia konta, kradzieży danych uwierzytelniających, manipulacji interfejsem urządzenia oraz potencjalnego przejęcia kontroli nad systemem zarówno po stronie klienta, jak i infrastruktury sieciowej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://azure-access.com/security-advisories. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu zarządzania urządzeniami wyłącznie do zaufanych sieci oraz stosowanie segmentacji sieciowej.

Azure-Access BLU-IC2 w wersjach do 1.19.5 włącznie oraz Azure-Access BLU-IC4 w wersjach do 1.19.5 włącznie (wraz z odpowiadającym im oprogramowaniem układowym).