CVE-2025-2775criticalbajo ataqueCWE-611

CVE-2025-2775: fallo crítico en SysAid On-Prem

SysAid On-Prem <= 23.3.40 Checkin Proceessing XML External Entity Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear SysAid On-Prem

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.3epss 43%
de la publicación al armael mismo día
Publicada en NVD7 may
1ª PoC28 mar
CISA KEV+76d
Acción exigida por CISAplazo federal: 2025-08-12

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

SysAid On-Prem hasta la versión 23.3.40 tiene una falla crítica en el procesamiento de check-in que permite a atacantes leer archivos y asumir cuentas de administrador sin necesidad de iniciar sesión.

Detalle técnico

Existe una vulnerabilidad XXE (XML External Entity) no autenticada en la funcionalidad de procesamiento de Checkin (CWE-611) que permite a los atacantes inyectar entidades XML maliciosas para leer archivos arbitrarios o ejecutar acciones con privilegios de administrador. El ataque no requiere autenticación previa y puede llevar al compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

SysAid On-Prem versions <= 23.3.40 are vulnerable to an unauthenticated XML External Entity (XXE) vulnerability in the Checkin processing functionality, allowing for administrator account takeover and file read primitives.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L
Productos afectados
SysAid · SysAid On-Prem
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — SysAid On-Prem

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-2776CRITICALSysAid On-Prem <= 23.3.40 serverurl Proceessing XML External Entity InjectionEPSS 65.2%KEVCVE-2025-2777CRITICALSysAid On-Prem <= 23.3.40 lshw Proceessing XML External Entity InjectionEPSS 72.9%