CVE-2025-66956

Asseco SEE Live 2.0 के कॉन्टैक्ट प्लान, ई-मेल, एसएमएस और फैक्स घटकों में असुरक्षित एक्सेस नियंत्रण दूरस्थ हमलावरों को कंप्यूटेबल URL के माध्यम से अनुलग्नकों तक पहुँचने और उन्हें निष्पादित करने की अनुमति देता है।

CVSS वेक्टर

• CVSS 3.1: 9.8, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
• CVSS 4.0: 10.0, CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

आक्रमण वेक्टर

1. फ़ाइल को अनुलग्नक के रूप में भेजें। यह फ़ाइल या तो एप्लिकेशन से अनुलग्नक के रूप में भेजी जा सकती है या एक ई-मेल प्राप्त किया जा सकता है जो एप्लिकेशन में प्रदर्शित होगा। एप्लिकेशन स्वचालित रूप से अनुलग्नकों को होस्ट पर डाउनलोड करता है।
2. फ़ाइल का MD5 हैश निकालें।
3. निम्नलिखित URL पर फ़ाइल तक पहुँचें: https://x/live20files/emailFiles/private/(date_in_format_YYYY-MM-DD)/(MD5_hash_of_file).(file_extension)

उदाहरण URL: https://example.com/live20files/emailFiles/private/2025-11-20/1f5534acb23426d83b5f7d2fd12c1b0d.php