CVE-2025-66956

Небезопасное управление доступом в компонентах Contact Plan, E-Mail, SMS и Fax в Asseco SEE Live 2.0 позволяет удалённым злоумышленникам получать доступ и выполнять вложения через предсказуемый URL.

Векторы CVSS

• CVSS 3.1: 9.8, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
• CVSS 4.0: 10.0, CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Вектор атаки

1. Отправить файл как вложение. Этот файл может быть либо отправлен из приложения как вложение, либо получено письмо, которое будет отображено в приложении. Приложение автоматически загружает вложения на хост.
2. Вычислить MD5-хеш файла.
3. Получить доступ к файлу по следующему URL https://x/live20files/emailFiles/private/(дата_в_формате_ГГГГ-ММ-ДД)/(MD5_хеш_файла).(расширение_файла)

Пример URL: https://example.com/live20files/emailFiles/private/2025-11-20/1f5534acb23426d83b5f7d2fd12c1b0d.php