Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je umožněno vykonat útok stored XSS v kontextu relace přihlášeného administrátora [1].

Zranitelnost se nachází v produktu:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

• CVE-2025-10573 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 12. 2025.

Neautentizovanému vzdálenému útočníkovi je za určitých podmínek umožněno na server zapisovat libovolné soubory a potenciálně spustit kód [1].

Zranitelnost se nachází v produktu:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-13659 na cve.org, NVD
• CWE-913: Improper Control of Dynamically-Managed Code Resources na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 12. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ověřování kryptografických podpisů v rámci správy aktualizací za určitých podmínek umožněno spustit kód [1].

Zranitelnost se nachází v produktu:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-13662 na cve.org, NVD
• CWE-347: Improper Verification of Cryptographic Signature na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 12. 2025.

Autentizovanému vzdálenému útočníkovi je za určitých podmínek umožněno zapisovat libovolné soubory mimo vyhrazený adresář [1].

Zranitelnost se nachází v produktu:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-13661 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 12. 2025.