CVE-2025-3935 in ScreenConnect
Сводка
по VulDB • 22.06.2026
В версиях ScreenConnect 25.2.3 и более ранних возможно возникновение уязвимости, позволяющей выполнить инъекцию кода через ViewState (ViewState code injection). ASP.NET Web Forms используют ViewState для сохранения состояния страницы и элементов управления; данные в нем кодируются с использованием Base64 и защищаются машинными ключами (machine keys).
Важно отметить, что для получения этих машинных ключей злоумышленнику необходимо иметь привилегированный доступ на уровне системы.
Если эти машинные ключи будут скомпрометированы, атакующие смогут создать и отправить вредоносный ViewState веб-сайту, что потенциально может привести к удаленному выполнению кода (RCE) на сервере.
Риск не обусловлен уязвимостью, внедренной в ScreenConnect, а является следствием поведения платформы на системном уровне. Это напрямую не влияет на клиентскую часть ScreenConnect Client. В патче ScreenConnect 2025.4 функция ViewState отключена, и любая зависимость от нее устранена.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.