| CVE ID | CVE-2025-10095 |
| Data publikacji | 09 września 2025 |
| Producent podatnego oprogramowania | Proximus sp. z o.o. |
| Nazwa podatnego oprogramowania | SMSEagle |
| Podatne wersje | Wszystkie poniżej 6.11 |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu urzadzeń SMSEagle i brał udział w procesie ujawniania informacji.
Podatność CVE-2025-10095: Niektóre parametry w komponencie serwera SMPP w oprogramowaniu urządzeń SMSEagle nie są odpowiednio sanityzowane. Atakujący znajdujący się lokalnej sieci może to wykorzystać do wstrzyknięcia dowolnego kodu SQL. Podatność jest ograniczona do serwera SMPP, który działa na dedykowanej bazie danych, oddzielonej od głównej bazy danych oprogramowania.
Problem został naprawiony w wersji 6.11.
Podziękowania
Za zgłoszenie podatności dziękujemy Vincentowi Salvadori.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.