| CVE ID | CVE-2025-14577 |
| Data publikacji | 24 lutego 2026 |
| Producent podatnego oprogramowania | Slican |
| Nazwa podatnego oprogramowania | NCP, IPL, IPM, IPU |
| Podatne wersje | Wszystkie do 1.24.0190 (Slican NCP) oraz do 6.61.0010 (Slican IPL/IPM/IPU). |
| Typ podatności (CWE) | Missing Authentication for Critical Function (CWE-306) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w urządzeniach Slican NCP/IPL/IPM/IPU i koordynował proces ujawniania informacji.
Podatność CVE-2025-14577: Urządzenia Slican NCP/IPL/IPM/IPU są podatne na PHP Function Injection. Nieuwierzytelniony atakujący może zdalnie wykonać dowolne polecenia PHP, wysyłając specjalnie spreparowane żądania do endpointu /webcti/session_ajax.php.
Problem został naprawiony w wersji 1.24.0190 (Slican NCP) oraz 6.61.0010 (Slican IPL/IPM/IPU).
Podziękowania
Za zgłoszenie podatności dziękujemy Dariuszowi Gońdzie.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.