CVE-2025-13315

Podatność wynika z błędu w kontroli dostępu (CWE-420 – niekompletna lub pomijana ścieżka uwierzytelniania) w interfejsie API serwisu webowego Twonky Server. Atakujący bez żadnych poświadczeń może wysłać odpowiednio spreparowane żądanie do API i ominąć wymagane mechanizmy uwierzytelniania. W wyniku tego możliwe jest pobranie pliku dziennika (log file), który zawiera wrażliwe dane – nazwę użytkownika administratora oraz jego zaszyfrowane hasło. Uzyskane dane mogą posłużyć do dalszych ataków, np. prób złamania hasła.

Atakujący może bez uwierzytelniania uzyskać dostęp do pliku dziennika aplikacji i odczytać z niego nazwę konta oraz zaszyfrowane hasło administratora, co może prowadzić do pełnego przejęcia konta administracyjnego.

Zgodnie z informacją zawartą w referencjach producenta podatność nie została naprawiona (not fixed). Należy monitorować stronę producenta (Lynx Technology) pod kątem wydania patcha oraz śledzić publikacje dostępne pod wskazanym adresem Rapid7. Do czasu wydania poprawki zaleca się ograniczenie dostępu sieciowego do interfejsu webowego Twonky Server wyłącznie do zaufanych hostów (np. za pomocą firewall lub reguł sieciowych) oraz unikanie eksponowania usługi na publiczne interfejsy sieciowe.

Twonky Server w wersji 8.5.2 działający na systemach Linux oraz Windows.

Zgodnie z referencją Rapid7 (CVE-2025-13315 oraz CVE-2025-13316) podatność nie posiada dostępnego patcha od producenta (status: not fixed) według stanu na datę publikacji.