CVE-2025-50901

JeeWMS — pominięcie uwierzytelnienia umożliwiające odczyt plików

CVSS 9.8v3.1pub. 2025-08-20upd. 2025-09-11

JeeWMS w commicie 771e4f5d0c01ffdeae1671be4cf102b73a3fe644 (z dnia 2025-05-19) zawiera krytyczną podatność typu authentication bypass. Umożliwia ona nieuwierzytelnionemu atakującemu odczyt dowolnych plików na serwerze.

▸ Pokaż oryginał (EN)

JeeWMS 771e4f5d0c01ffdeae1671be4cf102b73a3fe644 (2025-05-19) contains incorrect authentication bypass vulnerability, which can lead to arbitrary file reading.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej implementacji mechanizmu uwierzytelniania (CWE-287), który można ominąć bez podania poprawnych danych logowania. Atakujący działający zdalnie, bez jakichkolwiek uprawnień i bez interakcji ze strony użytkownika, jest w stanie uzyskać dostęp do chronionych zasobów aplikacji. Po ominięciu uwierzytelnienia możliwe jest odczytanie dowolnych plików dostępnych w kontekście procesu aplikacji.

Skutki

Atakujący może odczytać dowolne pliki na serwerze, co może prowadzić do ujawnienia poufnych danych konfiguracyjnych, haseł, kluczy prywatnych lub innych wrażliwych informacji. W połączeniu z wysokimi wynikami CVSS dla poufności, integralności i dostępności kompromitacja systemu może być rozległa.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecanym działaniem jest aktualizacja do wersji zawierającej poprawkę opisaną w zgłoszeniu IC8RPM w repozytorium Gitee. Do czasu zastosowania patcha należy rozważyć ograniczenie dostępu do aplikacji wyłącznie do zaufanych adresów IP za pomocą firewall lub mechanizmów sieciowej kontroli dostępu.

Kogo dotyczy

JeeWMS w wersji odpowiadającej commitowi 771e4f5d0c01ffdeae1671be4cf102b73a3fe644 (2025-05-19)

Uwagi

Podatność została opublikowana 2025-08-20 i dotyczy konkretnego commitu z dnia 2025-05-19. Szczegóły techniczne dostępne są w zgłoszeniu IC8RPM w repozytorium projektu na platformie Gitee.