CVE-2025-27667

Błąd sklasyfikowany jako CWE-203 (Observable Discrepancy) polega na tym, że aplikacja zwraca różne odpowiedzi w zależności od tego, czy podany adres e-mail istnieje w systemie jako konto administratora. Atakujący, wysyłając odpowiednio spreparowane żądania sieciowe bez żadnego uwierzytelnienia, może na podstawie obserwowanych różnic w odpowiedziach systemowych ustalić, które adresy e-mail są przypisane do kont administracyjnych. Podatność jest dostępna zdalnie, bez konieczności posiadania uprawnień ani interakcji po stronie użytkownika.

Atakujący może zebrać listę adresów e-mail kont administracyjnych, co ułatwia przeprowadzenie ukierunkowanych ataków typu phishing, credential stuffing lub brute-force na te konta, potencjalnie prowadząc do przejęcia uprawnień administracyjnych nad systemem druku.

Należy zaktualizować Vasion Print do wersji Virtual Appliance Host 22.0.843 lub nowszej oraz Application 20.0.1923 lub nowszej. Szczegółowe informacje dostępne są w biuletynach bezpieczeństwa producenta pod adresem https://help.printerlogic.com/saas/Print/Security/Security-Bulletins.htm

Vasion Print (dawniej PrinterLogic) w wersji Virtual Appliance Host poniżej 22.0.843 oraz Application poniżej 20.0.1923

Podatność zidentyfikowana wewnętrznym identyfikatorem producenta OVE-20230524-0011, co sugeruje, że została pierwotnie odkryta lub zgłoszona 24 maja 2023 roku.