[TLP:CLEAR] VMware opravuje vysoce závažnou zranitelnost

VMware verzí 8.18.1 patch 2 opravuje zranitelnost v produktech VMware Aria Automation a VMware Telco Cloud Platform [1]. V případě VMware Cloud Foundation postupujte dle KB394224 [2].

VMware Aria Automation, VMware Cloud Foundation, VMware Telco Cloud Platform - XSS (CVE-2025-22249)
CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ověřování vstupů umožněno odcizit přístupový token přihlášeného uživatele tím, že uživatele přiměje kliknout na škodlivě vytvořený odkaz [1].

Zranitelnost se nachází v produktech:

  • *:VMware Aria Automation; >=8.18.0, <8.18.1 patch 2
  • *:VMware Cloud Foundation;
  • *:VMware Telco Cloud Platform; >=5.0, <8.18.1 patch 2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Více informací:

  • CVE-2025-22249 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dne 14. 5. 2025.

CESNET, z.s.p.o. Logo