Уязвимость BDU:2025-06791

Идентификатор: BDU:2025-06791.

Наименование уязвимости: Уязвимость коммерческого веб-форума vBulletin, связанная с неправильной защитой альтернативного пути, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить произвольный код.

Описание уязвимости: Уязвимость коммерческого веб-форума vBulletin связана с неправильной защитой альтернативного пути. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности и выполнить произвольный код
Уязвимое ПО: Сетевое средство, Прикладное ПО информационных систем, Сетевое программное средство vBulletin vBulletin от 5.0.0 до 5.7.5 включительно | Сетевое средство, Прикладное ПО информационных систем, Сетевое программное средство vBulletin vBulletin от 6.0.0 до 6.0.3 включительно | Прикладное ПО информационных систем PHP Group PHP 8.1 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 23.05.2025.
CVSS 2.0: AV:N/AC:H/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9)

Возможные меры по устранению:
Компенсирующие меры:
— проверка динамического отражения методов на ограничение доступа;
— использование верисии PHP 8.0 или ниже;
— отключение Reflection API для API-маршрутов;
— ограничение доступа к /ajax/api/ (использование.htaccess (Apache) или Nginx);
— использование SIEM-систем для включения в правила корреляции индикаторов компрометации..
Статус уязвимости: Потенциальная уязвимость
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Информация об устранении отсутствует
Идентификаторы других систем описаний уязвимости: CVE-2025-48828.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://karmainsecurity.com/dont-call-that-protected-method-vbulletin-rce