CVE-2025-59470criticalCWE-77

CVE-2025-59470: fallo crítico en Veeam Backup and Recovery

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Backup and Recovery

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9epss 1.5%
de la publicación al arma33 días
Publicada en NVD8 ene
1ª PoC+33d
En resumen

Un Operador de Copia de Seguridad puede ejecutar código malicioso en el servidor como usuario postgres enviando parámetros interval u order manipulados. Esto es crítico porque permite que un usuario interno obtenga control completo del sistema de base de datos.

Detalle técnico

CWE-77 (Neutralización Inadecuada de Elementos Especiales usados en Comando) permite que un Operador de Copia de Seguridad logre RCE como usuario postgres a través de parámetros interval u order malicioso. El ataque requiere credenciales válidas de Operador de Copia de Seguridad, pero resulta en compromiso total del sistema bajo el contexto del proceso de base de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.
This vulnerability allows a Backup Operator to perform remote code execution (RCE) as the postgres user by sending a malicious interval or order parameter.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L
Productos afectados
Veeam · Backup and Recovery
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Veeam Backup and Recovery

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-23121CRITICALCVE-2025-23121EPSS 26.1%CVE-2025-23120CRITICALCVE-2025-23120EPSS 24.0%CVE-2025-24286HIGHCVE-2025-24286EPSS 19.1%CVE-2025-59468CRITICALCVE-2025-59468EPSS 1.2%CVE-2024-40710HIGHCVE-2024-40710EPSS 1.1%CVE-2024-39718HIGHCVE-2024-39718EPSS 0.8%