CVE-2025-0133

सारांश

Palo Alto Networks के PAN-OS® सॉफ़्टवेयर की GlobalProtect™ गेटवे और पोर्टल सुविधाओं में एक परावर्तित क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता, किसी प्रमाणित Captive Portal उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण JavaScript के निष्पादन को सक्षम बनाती है, जब वे एक विशेष रूप से तैयार किए गए लिंक पर क्लिक करते हैं। प्राथमिक जोखिम फ़िशिंग हमले हैं जो क्रेडेंशियल चोरी का कारण बन सकते हैं—विशेष रूप से यदि आपने Clientless VPN सक्षम किया है। GlobalProtect सुविधाओं या GlobalProtect उपयोगकर्ताओं पर कोई उपलब्धता प्रभाव नहीं पड़ता है। हमलावर इस भेद्यता का उपयोग GlobalProtect पोर्टल या गेटवे की सामग्री या कॉन्फ़िगरेशन के साथ छेड़छाड़ या संशोधन करने के लिए नहीं कर सकते। इस भेद्यता का अखंडता प्रभाव केवल हमलावर को ऐसे फ़िशिंग और क्रेडेंशियल-चोरी लिंक बनाने में सक्षम बनाने तक सीमित है जो GlobalProtect पोर्टल पर होस्ट किए गए प्रतीत होते हैं। Clientless VPN सक्षम वाले GlobalProtect उपयोगकर्ताओं के लिए, Clientless VPN के अंतर्निहित जोखिमों के कारण गोपनीयता पर सीमित प्रभाव पड़ता है, जो क्रेडेंशियल चोरी को सुगम बनाते हैं। आप इस जोखिम के बारे में सूचनात्मक बुलेटिन PAN-SA-2025-0005 https://security.paloaltonetworks.com/PAN-SA-2025-0005 https://security.paloaltonetworks.com/PAN-SA-2025-0005 में अधिक पढ़ सकते हैं। यदि आपने Clientless VPN सक्षम नहीं किया है (या आप इसे अक्षम करते हैं), तो GlobalProtect उपयोगकर्ताओं के लिए गोपनीयता पर कोई प्रभाव नहीं पड़ता है।

स्रोत