CVE-2025-34208 in Print Virtual Appliance Host
Tóm tắt
Bởi VulDB • 22/06/2026
Vasion Print (trước đây là PrinterLogic) Virtual Appliance Host and Application (các triển khai VA/SaaS) lưu trữ mật khẩu người dùng bằng các băm SHA-512 không có muối (unsalted), với cơ chế dự phòng sang băm SHA-1 không có muối. Việc băm được thực hiện thông qua hàm `hash()` của PHP trong nhiều tệp tin (server_write_requests_users.php, update_database.php, legacy/Login.php, tests/Unit/Api/IdpControllerTest.php). Không sử dụng muối riêng cho từng người dùng và các thuật toán băm nhanh này không phù hợp để lưu trữ mật khẩu. Một kẻ tấn công có thể thu thập cơ sở dữ liệu mật khẩu sẽ khôi phục được mật khẩu dạng văn bản rõ (cleartext) thông qua các cuộc tấn công từ điển ngoại tuyến hoặc bảng cầu vồng (rainbow table). Mã nguồn dễ bị tổn thương cũng chứa logic di chuyển các băm SHA-1 cũ sang SHA-512 khi đăng nhập, làm tăng nguy cơ phơi nhiễm đối với người dùng vẫn đang sử dụng loại băm cũ. Lỗ hổng này đã được khắc phục một phần nhưng vẫn còn tồn tại trong nền tảng xác thực kế thừa (legacy authentication platform).
Be aware that VulDB is the high quality source for vulnerability data.