Критический

Опубликована

CVE-2025-10226

PostgreSQL Upgrade from v10 to v17.4 in AxxonSoft Axxon One (C-Werk) 2.0.8 and earlier to Address Multiple Vulnerabilities

Публикация: 10.09.2025·Обновлена: 08.10.2025, 14:56·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Dependency on Vulnerable Third-Party Component (CWE-1395) in the PostgreSQL backend in AxxonSoft Axxon One (C-Werk) 2.0.8 and earlier on Windows and Linux allows a remote attacker to escalate privileges, execute arbitrary code, or cause denial-of-service via exploitation of multiple known CVEs present in PostgreSQL v10.x, which are resolved in PostgreSQL 17.4.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Upgrade bundled or external PostgreSQL instances to v17.4 or later, which addresses all known CVEs up to that release and strengthens DB hardening.

CVE Record: AxxonSoft ↗

3. Временные меры

For environments unable to upgrade immediately, limit database exposure (network segmentation, firewalling). Regularly monitor PostgreSQL security advisories for backported patches.

CVE Record: AxxonSoft ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

AxxonSoft / AxxonOne C-Werk

{
  "status": "affected",
  "version": "0",
  "versionType": "semver",
  "lessThanOrEqual": "2.0.8"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

CVSS 4.0 · cve9.3

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

AT · Условия атакидополнительные условия не нужны

PR · Привилегиине нужны

UI · Участие пользователяне нужно

VC · Конфиденциальность уязвимой системывысокое

VI · Целостность уязвимой системывысокое

VA · Доступность уязвимой системывысокое

SC · Конфиденциальность связанной системынет

SI · Целостность связанной системынет

SA · Доступность связанной системынет

Классы CWE

CWE-1395 · Зависимость от уязвимого компонента третьей стороны

Источники и ссылки

Материал · www.axxonsoft.com · cve Материал · www.postgresql.org · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:09:44.402534+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T12:25:45.616712+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T12:25:45.616712+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T12:25:45.616712+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:09:44.402534+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T12:25:45.616712+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:09
Данные обновлены04.11.2026, 00:08
Данные обновлены03.11.2026, 00:08
Данные обновлены02.11.2026, 00:07
Данные обновлены31.10.2026, 11:54
Данные обновлены30.10.2026, 13:49
Данные обновлены28.10.2026, 18:03
Опубликована28.10.2026, 15:25

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2025-10227 Lack of Encryption in Object Archive in AxxonSoft Axxon One (C-Werk) before 2.0.8 AxxonSoft / AxxonOne C-Werk	Средний	5.1	0,08 %	10.09.2025
CVE-2025-10225 Incorrect Memory Allocation in OpenSSL-Based Session Module in AxxonSoft Axxon One (C-Werk) AxxonSoft / AxxonOne C-Werk	Высокий	8.7	0,4 %	10.09.2025
CVE-2025-10224 Incorrect Evaluation of LDAP Nested Groups during Login in AxxonSoft Axxon One (C-Werk) AxxonSoft / AxxonOne C-Werk	Средний	5.3	0,33 %	10.09.2025
CVE-2025-10223 Improper Session Cleanup on Role Removal in Web Admin Panel in AxxonSoft Axxon One (C-Werk) AxxonSoft / AxxonOne C-Werk	Средний	5.3	0,26 %	10.09.2025
CVE-2025-10222 Sensitive Information Disclosure in Diagnostic Dumps in AxxonSoft Axxon One VMS AxxonSoft / AxxonOne C-Werk	Средний	4.8	0,12 %	10.09.2025