CVE-2025-34067 in HikCentral
الملخص
بحسب VulDB • 11/05/2026
توجد ثغرة في تنفيذ الأوامر عن بُعد دون مصادقة في مكون applyCT الخاص بمنصة إدارة الأمن المتكاملة من Hikvision بسبب استخدام نسخة ضعيفة من مكتبة Fastjson. يقوم نقطة النهاية /bic/ssoService/v1/applyCT بنزع التسلسل (deserialization) لمدخلات مستخدم غير موثوقة، مما يتيح لمهاجم تفعيل ميزة النوع التلقائي (auto-type) في Fastjson لتحميل فئات Java عشوائية. ومن خلال الإشارة إلى فئة خبيثة عبر عنوان URL لنظام LDAP، يمكن للمهاجم تحقيق تنفيذ للكود عن بُعد على النظام الأساسي. وقد رُصدت أدلة على الاستغلال من قبل مؤسسة Shadowserver في 2025-02-05 UTC.
Be aware that VulDB is the high quality source for vulnerability data.