جزئیات آسیب‌پذیری

CVE-2025-62193

National Oceanic and Atmospheric Administration (NOAA) Live Access Server

NOAA PMEL Live Access Server (LAS) PyFerret command injection

CVSS 4.0

9.3بحرانی

شرح رسمی (انگلیسی)

Sites running NOAA PMEL Live Access Server (LAS) are vulnerable to remote code execution via specially crafted requests that include PyFerret expressions. By leveraging a SPAWN command, a remote, unauthenticated attacker can execute arbitrary OS commands. Fixed in a version of 'gov.noaa.pmel.tmap.las.filter.RequestInputFilter.java' from 2025-09-24.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.3بحرانی	4.0	CVEProject cvelistV5 (CNA) (cisa-cg)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
9.8بحرانی	3.1	CVEProject cvelistV5 (CNA) (cisa-cg)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
National Oceanic and Atmospheric Administration (NOAA)	Live Access Server (LAS)	8	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/NOAA-PMEL/LAS/tree/main product
https://github.com/NOAA-PMEL/LAS/blob/main/README.md patch
https://www.cve.org/CVERecord?id=CVE-2025-62193 vdb-entry
https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2025/va-26-015-01.json third-party-advisorygovernment-resource
https://github.com/NOAA-PMEL/LAS/commit/de5f9237bfd4ac5085bcc49a6e30bbc9507ddb29 patch
https://github.com/NOAA-PMEL/LAS/commit/e69afb1898ae7e69f3e047513fc1e5570373912b patch
https://github.com/NOAA-PMEL/LAS/compare/b4b7306..de5f923 patch

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۴/۱۰/۲۵
آخرین به‌روزرسانی: ۱۴۰۴/۱۰/۲۵
وضعیت: منتشرشده
صادرکننده (CNA): cisa-cg

پیش‌بینی بهره‌برداری (EPSS)

۱٫۳٪

احتمال بهره‌برداری در ۳۰ روز

۷۰٫۶٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-78
Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')