PT-2025-47480
CVE-2025-34331
·
تاريخ النشر
2025-11-19
·
تاريخ التحديث
2025-11-19
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
أجهزة AudioCodes Fax Server و Auto-Attendant IVR حتى الإصدار 2.6.23 بما في ذلك
الوصف
يحتوي البرنامج على ثغرة أمنية تسمح بقراءة الملفات دون مصادقة عبر البرنامج النصي
download.php. يكشف البرنامج النصي عن آلية لتنزيل الملفات دون ضوابط وصول مناسبة، مما يسمح للمستخدمين البعيدين غير المصادق عليهم بطلب ملفات من الجهاز باستخدام معلمات المسار واسم الملف التي يزودها المهاجم. وعلى الرغم من أن التطبيق يفرض قيودًا على امتدادات الملفات، إلا أنه يمكن استرداد ملفات النسخ الاحتياطي الحساسة، مما قد يؤدي إلى الكشف عن قواعد البيانات الداخلية وتجزئات بيانات الاعتماد. قد يؤدي استغلال هذه الثغرة إلى الكشف عن تجزئات كلمات مرور المسؤول وغيرها من بيانات التكوين الحساسة. نقطة النهاية المعرضة للخطر هي /download.php، وهي تستخدم معلمات مثل filename وpath لاسترداد الملفات.التوصيات
يجب تحديث الإصدارات الأقدم من 2.6.23.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾