Vaelsys VaelsysV4 4.1.0 User Creation /grid/vgrid_server.php 特権昇格 ⚔ [係争中]
| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 7.9 | $0-$5k | 0.00 |
要約
脆弱性が Vaelsys VaelsysV4 4.1.0 内に見つかりました。この脆弱性は 重大 として分類されました。 影響を受けるのは、コンポーネント【User Creation Handler】のファイル【/grid/vgrid_server.php】に含まれる未知の関数です。 この操作は、 特権昇格を引き起こします。 この脆弱性は CVE-2025-8261 として知られています。 攻撃はリモートで開始される可能性が高いです。 攻撃手法は利用できません。 この脆弱性の実在は現時点ではまだ疑問視されています。
詳細
脆弱性が Vaelsys VaelsysV4 4.1.0 内に見つかりました。この脆弱性は 重大 として分類されました。 影響を受けるのは、コンポーネント【User Creation Handler】のファイル【/grid/vgrid_server.php】に含まれる未知の関数です。 この操作は、 特権昇格を引き起こします。 CWEを使用して問題を宣言すると、CWE-285 につながります。 この脆弱性は公開されました 2026年03月20日。 アドバイザリーは github.com で共有されています。
この脆弱性は CVE-2025-8261 として知られています。 攻撃はリモートで開始される可能性が高いです。 技術的詳細情報が入手可能です。 この脆弱性の普及度は平均未満です。 攻撃手法は利用できません。 このエクスプロイトは一般に公開されており、利用される恐れがあります。 エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。 MITRE ATT&CKプロジェクトは、攻撃手法を T1548.002 と定義しています。 アドバイザリは以下の内容を示しています：
A report was submitted claiming that the Vaelsys V4 platform allows arbitrary user account creation, including the creation of administrative users, by sending crafted POST requests to the grid/vgrid_server.php endpoint and bypassing authentication and authorization controls. During Vaelsys internal testing and code review, this behavior could not be reproduced. User creation operations were confirmed to require a valid session authenticated with administrative privileges. Attempts to create users using unauthenticated sessions, or sessions authenticated as non-administrative users, were unsuccessful. As a result, the reported behavior reflects intended functionality rather than a security vulnerability. An authenticated administrator is only able to perform actions that are already permitted by their assigned role, and no authentication bypass, privilege escalation, or unauthorized access was identified.
概念実証 であると宣言されています。 エクスプロイトツールは github.com からダウンロードできます。 この脆弱性の実在は現時点ではまだ疑問視されています。 】のプラグインを提供しています。
アドバイザリーには次の備考が含まれています。
No specific workarounds or mitigations are required for this issue. Administrators are encouraged to continue following general security best practices, but no additional measures are required as a result of this report.製品
タイプ
ベンダー
名前
バージョン
CPE 2.3
CPE 2.2
CVSSv4
VulDB ベクトル: 🔒VulDB 信頼性: 🔍
CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA ベクトル: 🔒
CVSSv3
VulDB ベースメタスコア: 8.1VulDB 一時的なメタスコア: 7.9
VulDB ベーススコア: 7.3
VulDB 一時的なスコア: 6.6
VulDB ベクトル: 🔒
VulDB 信頼性: 🔍
NVD ベーススコア: 9.8
NVD ベクトル: 🔒
CNA ベーススコア: 7.3
CNA ベクトル: 🔒
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔒
VulDB 一時的なスコア: 🔒
VulDB 信頼性: 🔍
悪用
クラス: 特権昇格CWE: CWE-285 / CWE-266
CAPEC: 🔒
ATT&CK: 🔒
物理的: いいえ
ローカル: いいえ
リモート: はい
可用性: 🔒
アクセス: パブリック
ステータス: 概念実証
ダウンロード: 🔒
Google Hack: 🔒
EPSS Score: 🔒
EPSS Percentile: 🔒
価格予測: 🔍
現在の価格評価: 🔒
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: 既知の緩和策なしステータス: 🔍
0day日時: 🔒
タイムライン
2025年07月26日 VulDBエントリが作成された2026年03月20日 勧告が公開された
2026年04月15日 VulDB の最終更新
ソース
勧告: github.comステータス: 未定義
確認: 🔒
係争中: 🔍
CVE: CVE-2025-8261 (🔒)
GCVE (CVE): GCVE-0-2025-8261
GCVE (VulDB): GCVE-100-317849
scip Labs: https://www.scip.ch/en/?labs.20161013
エントリ
作成済み: 2025年07月26日 18:19更新済み: 2026年04月15日 09:18
変更: 2025年07月26日 18:19 (55), 2025年07月28日 21:01 (30), 2025年08月01日 06:07 (12), 2026年04月15日 09:14 (4), 2026年04月15日 09:15 (4), 2026年04月15日 09:18 (2)
完了: 🔍
提出者: waiwai24
コミッター: security_vaelsys
Cache ID: 216::103
提出
承諾済み
- 提出 #616924: Vaelsys Vaelsys V4 v4.1.0 Unauthorized User Creation Vulnerability (〜によって waiwai24)
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。