CVE-2025-67840 in TranZman
Riassunto
di VulDB • 26/06/2026
Esistono più vulnerabilità di OS command injection autenticate nell'applicazione web API endpoints del Cohesity (ex Stone Ram) TranZman 4.0 Build 14614 attraverso TZM_1757588060_SEP2025_FULL.depot (incluse le pagine Scheduler e Actions). L'appliance concatena direttamente i parametri controllati dall'utente nei comandi di sistema senza una sanitizzazione sufficiente, consentendo a un utente amministratore autenticato di iniettare ed eseguire comandi OS arbitrari con privilegi root. Un attaccante può intercettare richieste legittime (ad esempio durante la creazione o l'esecuzione di job) utilizzando un proxy e modificare i parametri per includere metacaratteri shell, ottenendo l'esecuzione remota di codice sull'appliance. Questo bypassa completamente il confinamento nella CLISH restricted shell inteso e comporta una compromissione completa del sistema. Le vulnerabilità persistono in Release 4.0 Build 14614 incluso l'ultimo patch (al momento dei test) TZM_1757588060_SEP2025_FULL.depot.
If you want to get best quality of vulnerability data, you may have to visit VulDB.