BDU:2025-01148

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,6) Высокий уровень опасности (оценка CVSS 4.0 составляет 8,8) CVSS 8.600000381469727 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

Уязвимость веб-сервиса для передачи информации через временные ссылки Password Pusher, связанная с неверным ограничением срока действия сеанса, позволяющая нарушителю получить несанкционированный доступ к системе

Описание

Уязвимость веб-сервиса для передачи информации через временные ссылки Password Pusher связана с неверным ограничением срока действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к системе с помощью старых учетных данных или идентификаторов сеанса

Способ устранения

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Обновление до версии 1.48.0 (https://github.com/pglombardo/PasswordPusher/releases/tag/v1.48.0) или выше Использование рекомендаций производителя: https://github.com/pglombardo/PasswordPusher/releases/tag/v1.47.1 Компенсирующие меры: - использование средств межсетевого экранирования уровня веб-приложений (WAF); - использование «белого» списка IP-адресов для организации удалённого доступа к уязвимым продуктам; - отключение/удаление неиспользуемых учётных записей пользователей. - фильтрация подключений по 5001 сетевому порту; - использование виртуальных частных сетей для организации удаленного доступа (VPN).

Сведения записи

Дата публикации: 05.02.2025

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Существует

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Apnotic LLC	Password Pusher	до 1.47.1	Не указана
Apnotic LLC	Password Pusher	до 1.48.0	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 18.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.