CVE-2025-48749

Zgodnie z klasyfikacją CWE-201 (Insertion of Sensitive Information Into Sent Data), aplikacja nieprawidłowo włącza wrażliwe dane do wysyłanych żądań lub odpowiedzi sieciowych. Atakujący posiadający uprawnienia administracyjne (PR:H) może eksploitować tę podatność zdalnie przez sieć (AV:N) bez interakcji użytkownika. Podatność ma zasięg wykraczający poza kontekst samej aplikacji (S:C), co zwiększa jej krytyczność.

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych informacji przetwarzanych przez aplikację, a skuteczna eksploitacja może prowadzić do pełnego naruszenia poufności, integralności oraz dostępności systemu i zasobów wykraczających poza samą aplikację.

Należy zaktualizować Netwrix Directory Manager do wersji 11.1.25134.03, która według opisu producenta nie jest podatna. Szczegółowe instrukcje dotyczące aktualizacji dostępne są w oficjalnym poradniku bezpieczeństwa producenta pod adresem wskazanym w referencjach (ADV-2025-014).

Netwrix Directory Manager (dawniej Imanami GroupID) w wersji 11.0.0.0 i wcześniejszych oraz w wersjach po 11.1.25134.03

Podatność jest opisana w poradniku bezpieczeństwa Netwrix o identyfikatorze ADV-2025-014. Wersja 11.1.25134.03 stanowi punkt graniczny — podatne są wersje przed nią (11.0.0.0 i wcześniejsze) oraz wersje po niej, co sugeruje nieciągłość obsługiwanych wydań.