CVE-2025-27673

Problem sklasyfikowany jako CWE-539 (Use of Persistent Cookies Containing Sensitive Information) polega na tym, że aplikacja nieprawidłowo obsługuje cookie — zamiast przechowywać je wyłącznie w nagłówkach HTTP, ujawnia je w treści odpowiedzi (response body). Oznacza to, że aplikacja kliencka lub pośredniczący komponent może nieświadomie ekspozować zawartość cookie na skrypty lub inne mechanizmy odczytu treści odpowiedzi. Podatność jest dostępna zdalnie, bez uwierzytelnienia i nie wymaga interakcji użytkownika, co czyni ją szczególnie łatwą do wykorzystania.

Atakujący może odczytać wrażliwe dane cookie (np. tokeny sesyjne) i wykorzystać je do przejęcia sesji uwierzytelnionego użytkownika lub uzyskania nieautoryzowanego dostępu do systemu zarządzania drukiem, co prowadzi do naruszenia poufności i integralności danych.

Należy zaktualizować środowisko do wersji Virtual Appliance Host 22.0.843 lub nowszej oraz Application 20.0.1923 lub nowszej. Szczegółowe informacje dostępne są w biuletynach bezpieczeństwa producenta pod adresem: https://help.printerlogic.com/saas/Print/Security/Security-Bulletins.htm

Vasion Print (dawniej PrinterLogic) w wersjach: Virtual Appliance Host przed 22.0.843 oraz Application przed 20.0.1923

Podatność zidentyfikowana wewnętrznym identyfikatorem producenta OVE-20230524-0017, co sugeruje, że problem był znany co najmniej od maja 2023 r., mimo że CVE zostało opublikowane dopiero 2025-03-05.