VDB-317849 · Отправить #616924 · CVE-2025-8261

Vaelsys VaelsysV4 4.1.0 User Creation /grid/vgrid_server.php эскалация привилегий ⚔ [Спорный]

CVSS Meta Temp Score	Текущая цена эксплойта (≈)	Балл интереса CTI
7.9	$0-$5k	0.45

СводкаИнформация

В критический обнаружена уязвимость, классифицированная как Vaelsys VaelsysV4 4.1.0. Неизвестная функция файла /grid/vgrid_server.php компонента User Creation Handler поражена. Манипуляция приводит к эскалация привилегий. Эта уязвимость продается как CVE-2025-8261. Атака может быть осуществлена удаленно. Кроме того, имеется доступный эксплойт. На данный момент реальность данной уязвимости остается под вопросом.

ПодробностиИнформация

В критический обнаружена уязвимость, классифицированная как Vaelsys VaelsysV4 4.1.0. Неизвестная функция файла /grid/vgrid_server.php компонента User Creation Handler поражена. Манипуляция приводит к эскалация привилегий. Использование CWE для описания проблемы приводит к CWE-285. Слабость была опубликована 20.03.2026. Консультация доступна по адресу github.com.

Эта уязвимость продается как CVE-2025-8261. Атака может быть осуществлена удаленно. Доступна техническая информация. Популярность этой уязвимости ниже среднего. Кроме того, имеется доступный эксплойт. Эксплойт опубликован и может быть использован. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. Проект MITRE ATT&CK объявляет технику атаки как T1548.002. Консультация указывает:

A report was submitted claiming that the Vaelsys V4 platform allows arbitrary user account creation, including the creation of administrative users, by sending crafted POST requests to the grid/vgrid_server.php endpoint and bypassing authentication and authorization controls. During Vaelsys internal testing and code review, this behavior could not be reproduced. User creation operations were confirmed to require a valid session authenticated with administrative privileges. Attempts to create users using unauthenticated sessions, or sessions authenticated as non-administrative users, were unsuccessful. As a result, the reported behavior reflects intended functionality rather than a security vulnerability. An authenticated administrator is only able to perform actions that are already permitted by their assigned role, and no authentication bypass, privilege escalation, or unauthorized access was identified.

Задано как Доказательство концепции. Эксплойт доступен для загрузки на сайте github.com. На данный момент реальность данной уязвимости остается под вопросом. .

В уведомлении содержится следующий комментарий:

No specific workarounds or mitigations are required for this issue. Administrators are encouraged to continue following general security best practices, but no additional measures are required as a result of this report.

ПродуктИнформация

Тип

Video Surveillance Software

Поставщик

Vaelsys

Имя

VaelsysV4

Версия

4.1.0

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔒
VulDB Надёжность: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Вектор: 🔒

CVSSv3Информация

VulDB Meta Base Score: 8.1
VulDB Meta Temp Score: 7.9

VulDB Базовый балл: 7.3
VulDB Временная оценка: 6.6
VulDB Вектор: 🔒
VulDB Надёжность: 🔍

NVD Базовый балл: 9.8
NVD Вектор: 🔒

CNA Базовый балл: 7.3
CNA Вектор: 🔒

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать

VulDB Базовый балл: 🔒
VulDB Временная оценка: 🔒
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: эскалация привилегий
CWE: CWE-285 / CWE-266
CAPEC: 🔒
ATT&CK: 🔒

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔒
Доступ: публичный
Статус: Доказательство концепции
Скачать: 🔒
Google Hack: 🔒

EPSS Score: 🔒
EPSS Percentile: 🔒

Прогноз цен: 🔍
Оценка текущей цены: 🔒

0-Day	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Сегодня	Разблокировать	Разблокировать	Разблокировать	Разблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: о смягчении не известно
Статус: 🔍

0-дневное время: 🔒

ХронологияИнформация

26.07.2025 Запись VulDB создана
20.03.2026 +236 дни Консультация опубликована
15.04.2026 +26 дни Последнее обновление VulDB

ИсточникиИнформация

Консультация: github.com
Статус: Не определено
Подтверждение: 🔒
Спорный: 🔍

CVE: CVE-2025-8261 (🔒)
GCVE (CVE): GCVE-0-2025-8261
GCVE (VulDB): GCVE-100-317849
scip Labs: https://www.scip.ch/en/?labs.20161013