跳到主要内容

超危

Commvault Command Center Innovation Release代码执行漏洞漏洞

2025-04-22 16:32:23 公开 ，2026-03-02 02:48:41 更新

  • CISA KEV
  • 关键漏洞
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 远程
  • 无需认证
  • 公开PoC
CWEs：
CWE-22 （Path Traversal） 、 CWE-306 （Missing Authentication for Critical Function）
CAPEC：
CAPEC-242 （Code Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-05-03 01:42:06

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H
CVSS v3.1 风险值
10
CVSS v4.0 向量
AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:L/SI:H/SA:H
CVSS v4.0 风险值
9.3

详细信息

漏洞类型
其他
漏洞描述
Commvault Command Center Innovation Release 11.38版本中存在路径遍历漏洞，允许未经身份验证的参与者上传ZIP文件，当目标服务器对其进行扩展时，可导致远程代码执行。
修复建议
升级到Commvault网站提供的Command Center Innovation Release的最新版本（11.38.25或更高版本）。参考链接： https://documentation.commvault.com/securityadvisories/CV_2025_04_1.html

参考链接