Fortinet heeft een kwetsbaarheid verholpen in FortiWeb. Fortinet heeft een kwetsbaarheid verholpen in FortiWeb. De kwetsbaarheid met het kenmerk CVE-2025-64446 betreft een relative path traversal-kwetsbaarheid en stelt een niet-geauthenticeerde aanvaller op afstand in staat om administratieve commando’s uit te voeren via speciaal vervaardigde HTTP-verzoeken.
Het NCSC heeft informatie ontvangen dat de kwetsbaarheid al enige tijd actief wordt misbruikt. Tevens hebben onderzoekers Proof-of-Concept-code (PoC) gepubliceerd waarmee de kwetsbaarheid kan worden aangetoond. Het is daarom de verwachting dat het aantal pogingen tot misbruik verder zal toenemen.
Cisco heeft kwetsbaarheden verholpen in Cisco Catalyst Center. Deze kwetsbaarheid met kenmerk CVE-2025-20341, ontstaat door onvoldoende validatie van gebruikersinvoer. Een kwaadwillende kan dit misbruiken, door een speciaal vervaardigd HTTP‑verzoek te versturen, waardoor ongeautoriseerde systeemwijzigingen mogelijk worden, zoals het aanmaken van accounts of het verhogen van eigen rechten.
De kwetsbaarheid met kenmerk CVE-2025-20353, kan een niet-geauthenticeerde, externe aanvaller in staat stellen om een cross-site scripting (XSS)-aanval uit te voeren. Deze kwetsbaarheid wordt veroorzaakt door onvoldoende validatie van gebruikersinvoer. Door een gebruiker te laten klikken op een speciaal gemaakte link, kan de aanvaller willekeurige code uitvoeren of toegang krijgen tot gevoelige browserinformatie.
De kwetsbaarheid met kenmerk CVE-2025-20346 kan een geauthenticeerde, externe aanvaller in staat stellen om handelingen uit te voeren die normaal Administrator‑rechten vereisen. De aanvaller heeft hiervoor geldige read-only gebruikersgegevens nodig. Deze kwetsbaarheid ontstaat door onjuiste rolgebaseerde toegangscontrole (RBAC). Een aanvaller kan hiervan misbruik maken door in te loggen op een getroffen systeem en bepaalde beleidsconfiguraties aan te passen.
De kwetsbaarheid met kenmerk CVE-2025-20349, in de REST API van Cisco Catalyst Center maakt het een geauthenticeerde aanvaller mogelijk om willekeurige opdrachten als root uit te voeren in een beperkte container door een speciaal vervaardigd API-verzoek te versturen.
Adobe heeft een kwetsbaarheid verholpen in Adobe Photoshop (Desktop versies 26.8.1 en eerder). De kwetsbaarheid bevindt zich in de wijze waarop Adobe Photoshop omgaat met bestanden. Deze kwetsbaarheid kan leiden tot willekeurige code-executie wanneer een gebruiker een kwaadwillig bestand opent.
Adobe heeft kwetsbaarheden verholpen in Adobe Illustrator (Specifiek voor versies 28.7.10, 28.8.2 en eerder, evenals Illustrator op iPad versies 3.0.9 en eerder). De kwetsbaarheden bevinden zich in de wijze waarop Adobe Illustrator en Illustrator op iPad omgaan met speciaal vervaardigde bestanden. Deze kwetsbaarheden kunnen leiden tot willekeurige code-executie wanneer een gebruiker een kwaadwillig bestand opent. Dit kan worden misbruikt door aanvallers om ongeautoriseerde commando's uit te voeren binnen de getroffen systemen.
Microsoft heeft kwetsbaarheden verholpen in Visual Studio en Code Copilot voor Visual Studio. Een kwaadwillende kan de kwetsbaarheden misbruiken om beveiligingsmaatregelen te omzeilen en willekeurige code uit te voeren in de context van het slachtoffer.
Voor succesvol misbruik moet de kwaadwillende het slachtoffer misleiden malafide code te importeren.
```
Visual Studio Code CoPilot Chat Extension:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-62222 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2025-62449 | 6.80 | Omzeilen van beveiligingsmaatregel |
|----------------|------|-------------------------------------|
GitHub Copilot and Visual Studio Code:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-62453 | 5.00 | Omzeilen van beveiligingsmaatregel |
|----------------|------|-------------------------------------|
Visual Studio:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2025-62214 | 6.70 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
```
Microsoft heeft een kwetsbaarheid verholpen in SQL Server. Een geauthenticeerde kwaadwillende kan de kwetsbaarheid misbruiken om middels speciaal geprepareerde SQL statements (SQL Injection) zich verhoogde rechten toe te kennen en daarmee toegang krijgen tot gevoelige informatie waar de kwaadwillende aanvankelijk niet voor is geautoriseerd.
Microsoft heeft kwetsbaarheden verholpen in Dynamics De kwetsbaarheden bevinden zich in Dynamics 365 (On Premise) en Dynamics Field Service en stellen een kwaadwillende in staat om toegang te krijgen tot gevoelige gegevens, of zich voor te doen als een andere gebruiker.
Siemens heeft kwetsbaarheden verholpen in diverse producten als Altair Grid Engine, COMOS, LOGO, SICAM, SIDOOR, SIMATIC, SIPLUS, Spectrum Power en Solid Edge. De kwetsbaarheden stellen een kwaadwillende mogelijk in staat aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade:
- Denial-of-Service (DoS)
- Manipulatie van gegevens
- Omzeilen van een beveiligingsmaatregel
- (Remote) code execution (root/admin rechten)
- Toegang tot systeemgegevens
- Toegang tot gevoelige gegevens
- Verhogen van rechten
De kwaadwillende heeft hiervoor toegang nodig tot de productieomgeving. Het is goed gebruik een dergelijke omgeving niet publiek toegankelijk te hebben.
SAP heeft kwetsbaarheden verholpen in verschillende producten, waaronder SAP NetWeaver, SAP Business Connector, SAP HANA, en SAP S/4HANA. De kwetsbaarheden omvatten onder andere deserialisatie, code-injectie, onvoldoende validatie, en informatie openbaarmaking. Deze kwetsbaarheden kunnen worden misbruikt door aanvallers om ongeautoriseerde toegang te verkrijgen, schadelijke code uit te voeren, of gevoelige informatie te lekken. De impact varieert van compromittering van vertrouwelijkheid en integriteit tot volledige systeemcompromittering, afhankelijk van de specifieke kwetsbaarheid en de context van gebruik.
De ernstigste kwetsbaarheid heeft kenmerk CVE-2025-42944 toegewezen gekregen en bevindt zich in Netweaver. Een kwaadwillende op afstand kan de kwetsbaarheid zonder voorafgaande authenticatie misbruiken om willekeurige code uit te voeren in de context van de Netweaver service.
Fortinet heeft kwetsbaarheden verholpen in FortiOS en FortiProxy. De kwetsbaarheden omvatten een stack-gebaseerde buffer overflow die geauthenticeerde aanvallers in staat stelt om ongeautoriseerde code uit te voeren via speciaal vervaardigde CLI-commando's. Daarnaast zijn er problemen met onjuiste certificaatvalidatie die ongeauthenticeerde aanvallers in staat stellen om verbindingen te onderscheppen en te manipuleren, wat het risico op man-in-the-middle-aanvallen vergroot. Ook kunnen geauthenticeerde proxygebruikers domeinfronting-bescherming omzeilen door middel van speciaal vervaardigde HTTP-verzoeken. Verder zijn er kwetsbaarheden voor reflected cross-site scripting (XSS) en open redirect aanvallen, die kunnen leiden tot ongeautoriseerde acties in de context van de gebruiker. Bovendien kunnen aanvallers met alleen-lezen rechten gevoelige informatie over twee-factor-authenticatie (2FA) verkrijgen. Deze kwetsbaarheden kunnen worden geëxploiteerd via zorgvuldig vervaardigde HTTP-verzoeken.
Cisco heeft een kwetsbaarheid verholpen in Cisco Identity Services Engine. De kwetsbaarheid bevindt zich in de RADIUS-instelling van Cisco Identity Services Engine, die kan worden misbruikt door niet-geauthenticeerde externe aanvallers. Deze kwetsbaarheid stelt aanvallers in staat om een logische fout te veroorzaken, wat mogelijk leidt tot een onverwachte herstart van het systeem. Het resultaat van deze exploitatie kan een Denial-of-Service (DoS) situatie zijn, wat de beschikbaarheid van het getroffen systeem beïnvloedt.
Google heeft kwetsbaarheden verholpen in Android. Samsung heeft kwetsbaarheden verholpen in Samsung Mobile De kwetsbaarheden omvatten een out-of-bounds write en read, evenals een kwetsbaarheid in de USB-verbindingmodus die lokale aanvallers in staat stelt ongeautoriseerde toegang te krijgen tot gebruikersdata. Deze kwetsbaarheden kunnen worden misbruikt door lokale of remote aanvallers, afhankelijk van de specifieke situatie.
Apple heeft kwetsbaarheden verholpen in iOS 26.1 en iPadOS 26.1. De kwetsbaarheden betroffen verschillende privacy- en beveiligingsproblemen, waaronder ongeautoriseerde toegang tot gebruikersgegevens, het risico van gegevensexfiltratie, en kwetsbaarheden in geheugenbeheer die konden leiden tot onverwachte systeemcrashes. Aanvallers konden mogelijk gevoelige informatie verkrijgen via misbruik van deze kwetsbaarheden, wat de integriteit en privacy van gebruikers in gevaar bracht. De updates bevatten verbeterde validatiemechanismen en restricties om deze risico's te mitigeren.
Apple heeft kwetsbaarheden verholpen in macOS Sonoma 14.8.2, macOS Sequoia 15.7.2 en MacOS Tahoe 26.1. De kwetsbaarheden omvatten een breed scala aan problemen, waaronder ongeautoriseerde toegang tot gevoelige gebruikersdata, racecondities, en logische fouten die konden leiden tot ongewenste toegang of systeeminstabiliteit. Aanvallers konden deze kwetsbaarheden misbruiken door gebruik te maken van onjuiste validatieprocessen en beveiligingslekken in de sandbox-omgeving. De impact varieerde van gegevenslekken tot potentiële systeemcrashes, wat de noodzaak van onmiddellijke aandacht benadrukte.
CFMOTO heeft een kwetsbaarheid verholpen in de backend van systemen die voertuigdata beheren. De kwetsbaarheid bevindt zich in de manier waarop de parameter vehicleId wordt behandeld, wat leidt tot een Insecure Direct Object Reference (IDOR). Dit stelt aanvallers in staat om ongeautoriseerde toegang te krijgen tot gevoelige informatie van andere gebruikers' voertuigen, zoals GPS-coördinaten en encryptiesleutels. De kwetsbaarheid benadrukt de noodzaak voor robuuste server-side autorisatiecontroles om ongeautoriseerde gegevensaccess te voorkomen.
Nagios heeft kwetsbaarheden verholpen in Nagios XI (Versies voor 2024R1.4.2 en 2024R2). De kwetsbaarheden omvatten een remote code execution kwetsbaarheid binnen de Business Process Intelligence component, onvoldoende permissies op systemd unit bestanden, ongeautoriseerde toegang tot API-sleutels, een command injection kwetsbaarheid in de WinRM plugin, en een kritieke remote code execution kwetsbaarheid in de Core Config Manager. Deze kwetsbaarheden kunnen worden misbruikt door geauthenticeerde gebruikers om willekeurige code uit te voeren, wat kan leiden tot een compromittering van de systeemintegriteit en de vertrouwelijkheid van gevoelige API-gegevens. De kwetsbaarheden benadrukken de noodzaak van robuuste validatiemechanismen en correcte toegangscontrole binnen de getroffen versies.
Arista Networks heeft kwetsbaarheden verholpen in DANZ. De kwetsbaarheden omvatten verschillende manieren waarop geauthenticeerde gebruikers met beperkte rechten toegang kunnen krijgen tot gevoelige systemen en gegevens. Dit omvat het ontsnappen aan de CLI-sandbox, het misbruiken van SSH-portforwarding, en het persistent maken van besturingssysteemoperaties na een sessietimeout. Daarnaast kunnen gebruikers via een debug-API ongeautoriseerde toegang krijgen tot gevoelige configuratiegegevens, zoals gebruikerswachtwoord-hashes. Tot slot kan de cryptografische validatie van upgrade-afbeeldingen worden ondermijnd door het invoegen van speciaal vervaardigde bestanden in de upgrade-ISO, wat kan leiden tot ongeautoriseerde wijzigingen.
IBM heeft kwetsbaarheden verholpen in IBM QRadar SIEM (Specifiek voor versie 7.5.0 Update Pack 13 Independent Fix 02). De kwetsbaarheden omvatten een opgeslagen cross-site scripting (XSS) kwetsbaarheid die het mogelijk maakt voor geauthenticeerde gebruikers om JavaScript in de webinterface te injecteren. Dit kan leiden tot compromittering van gebruikersreferenties in een vertrouwde sessie. Daarnaast is er een kwetsbaarheid gerelateerd aan privilege-escalatie, voortkomend uit onjuiste privilege-toewijzing in een update-script, wat een aanvaller in staat kan stellen om verhoogde privileges binnen het systeem te verkrijgen.
