PT-2025-41881 · Siemens · Sinec Nms

CVE-2025-40755 · Publicado 2025-10-14 · Atualizado 2025-11-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Siemens SINEC NMS versões anteriores à 4.0 SP1

Descrição Existe uma falha de injeção de SQL no SINEC NMS por meio do endpoint da API getTotalAndFilterCounts. Um atacante autenticado com baixos privilégios pode explorar essa questão para inserir dados, manipular dados, obter acesso não autorizado e escalar privilégios. A vulnerabilidade ocorre porque o endpoint getTotalAndFilterCounts não sanitiza adequadamente a entrada fornecida pelo usuário antes de processá-la, permitindo a execução de comandos SQL arbitrários.

Recomendações Versões anteriores à 4.0 SP1 devem ser atualizadas para a versão 4.0 SP1 ou posterior.

Correção

LPE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-40755

ZDI-25-1021

Produtos afetados

Sinec Nms

Referências · 10

• https://zerodayinitiative.com/advisories/ZDI-25-1021 · Nota de Segurança
• https://t.me/CVEtracker/34847 · Publicação no Telegram
• https://twitter.com/TheZDIBugs/status/1993438188090609724 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-40755 · Aviso do Fabricante
• https://twitter.com/CveTodo/status/1978045630841762200 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1978032974382641485 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1978032049643458895 · Publicação no Twitter
• https://cert-portal.siemens.com/productcert/html/ssa-318832.html · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1978077122703876155 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-40755 · Nota de Segurança