CVE-2025-3115· NVD / CVE Program· CNA tibco

Spotfire Data Function Vulnerability

Injection Vulnerabilities: Attackers can inject malicious code, potentially gaining control over the system executing these functions. Additionally, insufficient validation of filenames during file uploads can enable attackers to upload and execute malicious files, leading to arbitrary code execution

КритическаяCVSS 9.4 · v4.0—Эксплойта нет Есть исправление

Опубликовано: 9 апр. 2025 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,7 % · 50-й процентиль
CWE: CWE-94

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 37 / 40 · 9.4 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,7 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · tibco: 9,4; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Затронутые системы

Вендор	Продукт	CPE
tibco	spotfire enterprise runtime for r	cpe:2.3:a:tibco:spotfire_enterprise_runtime_for_r
tibco	spotfire statistics services	cpe:2.3:a:tibco:spotfire_statistics_services
tibco	spotfire analyst	cpe:2.3:a:tibco:spotfire_analyst
tibco	spotfire deployment kit	cpe:2.3:a:tibco:spotfire_deployment_kit
tibco	spotfire desktop	cpe:2.3:a:tibco:spotfire_desktop
tibco	spotfire analytics platform	cpe:2.3:a:tibco:spotfire_analytics_platform

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

tibco spotfire analystдо 14.0.6
tibco spotfire analyst14.1.0
tibco spotfire analyst14.2.0
tibco spotfire analyst14.3.0
tibco spotfire analyst14.4.0
tibco spotfire analyst14.4.1
tibco spotfire analytics platformдо 14.4.2
tibco spotfire deployment kitдо 14.0.7
tibco spotfire deployment kit14.1.0
tibco spotfire deployment kit14.2.0
tibco spotfire deployment kit14.3.0
tibco spotfire deployment kit14.4.0
tibco spotfire deployment kit14.4.1
tibco spotfire desktopдо 14.4.2
tibco spotfire enterprise runtime for rдо 1.17.7
tibco spotfire enterprise runtime for rдо 6.1.5
tibco spotfire enterprise runtime for r1.18.0
tibco spotfire enterprise runtime for r1.19.0
tibco spotfire enterprise runtime for r1.20.0
tibco spotfire enterprise runtime for r1.21.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (tibco). Не зависят от анализа CPE в NVD и обычно опережают его.

Spotfire Deployment Kit used in Spotfire Server
- 14.1.0, 14.2.0, 14.3.0, 14.4.0, 14.4.1затронута
- 14.0 и новее · до 14.0.7затронута · Patch
Spotfire Spotfire Analyst
- 14.1.0, 14.2.0, 14.3.0, 14.4.0, 14.4.1затронута
- 14.0 и новее · до 14.0.6затронута · Patch
Spotfire Spotfire Desktop
- 14.4 и новее · до 14.4.2затронута · Patch
Spotfire Spotfire Enterprise Runtime for R - Server Edition
- 1.18.0, 1.19.0, 1.20.0, 1.21.0, 1.21.1затронута
- 1.17 и новее · до 1.17.7затронута · Patch
Spotfire Spotfire for AWS Marketplace
- 14.4 и новее · до 14.4.2неизвестно · Patch
Spotfire Spotfire Service for Python
- 1.17 и новее · до 1.17.7затронута · Patch
- 1.18.0 и новее · до 1.21.1 включительнозатронута · Patch
Spotfire Spotfire Service for R
- 1.17 и новее · до 1.17.7затронута · Patch
- 1.18.0 и новее · до 1.21.1 включительнозатронута · Patch
Spotfire Spotfire Statistics Services
- 14.1.0, 14.2.0, 14.3.0, 14.4.0, 14.4.1затронута
- 14 и новее · до 14.0.7затронута · Patch

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Spotfire Deployment Kit used in Spotfire Server	14.0.7	Вендор (CNA)
Spotfire Spotfire Analyst	14.0.6	Вендор (CNA)
Spotfire Spotfire Desktop	14.4.2	Вендор (CNA)
Spotfire Spotfire Enterprise Runtime for R - Server Edition	1.17.7	Вендор (CNA)
Spotfire Spotfire Service for Python	1.17.7	Вендор (CNA)
Spotfire Spotfire Service for R	1.17.7	Вендор (CNA)
Spotfire Spotfire Statistics Services	14.0.7	Вендор (CNA)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Достаточно учётной записи с низкими привилегиями.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Низкие
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-94 · Improper Control of Generation of Code ('Code Injection')

Вектор CVSS

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:09 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

community.spotfire.com/articles/spotfire/spotfire-security-advisory-april-08-2025-spotfire-cve-2025-3115-r3485/

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Источники данных и проверка

CNA: tibco

CVE.org (CNA)11 нояб. 2025 г., 11:47 UTC
CISA ADP11 нояб. 2025 г., 11:47 UTC
NVD17 июн. 2026 г., 05:19 UTC
FIRST EPSS29 сент. 2026 г., 00:00 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

Вы видите все CVE. Добавьте свой стек, чтобы оставить только те, что касаются вас.

Добавьте свой стек