Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je umožnené vykonať útok stored XSS v kontexte relácie prihláseného administrátora [1].

Zraniteľnosť sa nachádza v produkte:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2025-10573 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 12. 2025.

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené zapisovať na server ľubovoľné súbory a potenciálne spustiť kód [1].

Zraniteľnosť sa nachádza v produkte:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-13659 na cve.org, NVD
• CWE-913: Improper Control of Dynamically-Managed Code Resources na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 12. 2025.

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnému overovaniu kryptografických podpisov v rámci správy aktualizácií za určitých podmienok umožnené spustiť kód [1].

Zraniteľnosť sa nachádza v produkte:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-13662 na cve.org, NVD
• CWE-347: Improper Verification of Cryptographic Signature na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 12. 2025.

Autentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené zapisovať ľubovoľné súbory mimo vyhradeného adresára [1].

Zraniteľnosť sa nachádza v produkte:

• Ivanti Endpoint Manager; <2024 SU4 SR1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-13661 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 12. 2025.