CVE-2025-66956

التحكم غير الآمن في الوصول إلى مكونات خطة الاتصال والبريد الإلكتروني والرسائل النصية والفاكس في Asseco SEE Live 2.0 يسمح للمهاجمين عن بُعد بالوصول إلى المرفقات وتنفيذها عبر عنوان URL قابل للحساب.

متجهات CVSS

• CVSS 3.1: 9.8, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
• CVSS 4.0: 10.0, CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

متجه الهجوم

1. أرسل ملفاً كمرفق. يمكن إرسال هذا الملف إما من التطبيق كمرفق أو يمكن استلام بريد إلكتروني يتم عرضه في التطبيق. يقوم التطبيق بتنزيل المرفقات تلقائياً على المضيف.
2. احسب تجزئة MD5 للملف.
3. الوصول إلى الملف على عنوان URL التالي https://x/live20files/emailFiles/private/(date_in_format_YYYY-MM-DD)/(MD5_hash_of_file).(file_extension)

مثال على عنوان URL: https://example.com/live20files/emailFiles/private/2025-11-20/1f5534acb23426d83b5f7d2fd12c1b0d.php