CVE-2025-14340
प्रशासक खाता अधिग्रहण दुर्भावनापूर्ण URL पेलोड के माध्यम से
- प्रकाशित
- 18 फ़र॰ 2026
- अद्यतन
- 19 फ़र॰ 2026
- सीएनए असाइन करना
- Payara
- साक्ष्य देखे गए
- 15 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:P/AU:N/R:U/V:X/RE:M/U:Redकम · अगले 30 दिन
- प्रतिशत
- 63.1%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Payara Server <4.1.2.191.54, <5.83.0, <6.34.0, <7.2026.1 में REST प्रबंधन इंटरफ़ेस में क्रॉस-साइट स्क्रिप्टिंग एक हमलावर को URL पेलोड के माध्यम से व्यवस्थापक को व्यवस्थापक पासवर्ड बदलने के लिए गुमराह करने की अनुमति देती है।
स्रोत
http/cves/2025/CVE-2025-14340.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl,status,word($.matchers[*].type)
CVE-2025-14340 के लिए PoC: Payara Server में एडमिन अकाउंट टेकओवर
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।