| TVN ID | TVN-202511005 |
|---|---|
| CVE ID | CVE-2025-12869, CVE-2025-12870, CVE-2025-12871, CVE-2025-12872 |
| CVSS | CVE-2025-12869： 4.8 (Medium) CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N CVE-2025-12870： 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2025-12871： 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2025-12872： 5.4 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 影響產品 | a+HRD 7.5(含)以前版本： CVE-2025-12869, CVE-2025-12870, CVE-2025-12871, CVE-2025-12872 a+HCM 8.1版本： CVE-2025-12872 |
| 問題描述 | CVE-2025-12869： a+HRD存在Stored Cross-Site Scripting漏洞，已取得管理者權限之遠端攻擊者可於特定頁面注入持久性JavaScript程式碼，並在使用者瀏覽該頁面時自動執行。 CVE-2025-12870： a+HRD存在Authentication Abuse漏洞，未經身分鑑別之遠端攻擊者可發送特定封包取得管理權限憑證，使用該憑證可以管理員權限存取系統。 CVE-2025-12871： a+HRD存在Authentication Abuse漏洞，未經身分鑑別之遠端攻擊者可自行製作管理權限憑證，並使用該憑證以管理員權限存取系統。 CVE-2025-12872： a+HRD與a+HCM存在Stored Cross-Site Scripting漏洞，已通過身分鑑別之遠端攻擊者可上傳含惡意 JavaScript程式碼檔案，並在誘騙使用者瀏覽特定URL時於使用者端執行。 |
| 解決方法 | 請參考育碁官網資安公告資訊升級至6.8(含)以上版本並安裝對應最新之修補更新, 或與育碁客服人員聯絡。 |
| 漏洞通報者 | CVE-2025-12869： Wxi (Systex Software) CVE-2025-12870, CVE-2025-12871： Tree(CHT Security) CVE-2025-12872： Loki, Harry, Mike, Henry, WoodMan(安華聯網) |
| 公開日期 | 2025-11-12 |
:::