Устранённые уязвимости, декабрь 2025

Введение

В декабре 2025 года Positive Technologies провела независимое тестирование информационной безопасности Comindware Platform и выявила две критические уязвимости.

Comindware подтвердила их наличие, подготовила исправления и выпустила обновления.

Здесь представлено краткое описание сути уязвимостей, их статус и рекомендации по обновлению.

Уязвимость, связанная с чтением файлов

В определённых сценариях при обработке запросов в Comindware Platform могли некорректно обрабатываться входные данные, что теоретически позволяло без аутентификации получить доступ к содержимому отдельных файлов файловой системы сервера в пределах прав учётной записи, под которой выполняется ПО.

Статус: уязвимость устранена.

Меры по устранению: Comindware усилила проверки входных данных, ограничила доступ к файловым путям и расширила внутренние проверки для предотвращения аналогичных сценариев.

Уязвимость, связанная с загрузкой файлов

В некоторых сценариях при загрузке файлов в Comindware Platform могли некорректно обрабатываться параметры, что при определённых условиях теоретически позволяло авторизованному пользователю разместить на сервере файл вне предусмотренного сценария использования и потенциально могло привести к выполнению нежелательного кода на стороне сервера.

Статус: уязвимость устранена.

Меры по устранению: Comindware ужесточила проверки имён и путей сохранения файлов, ограничила допустимые типы и области хранения и исключила сценарии размещения загружаемых файлов в зонах, пригодных для исполнения кода.

Затронутые версии и актуальное состояние

Positive Technologies зафиксировала указанные уязвимости в экземплярах Comindware Platform версий 3.5 и 4.2, использованных в ходе исследования.

Comindware включила исправления в состав ПО Comindware Platform начиная с версии 5.0 от 31.12.2025.

Рекомендации

Если вы используете Comindware Platform в версии, выпущенной до 31.12.2025, особенно при размещении системы в сетевых контурах с внешним доступом, Comindware настоятельно рекомендует обновить ПО до версии 5.0 от 31.12.2025 или новее в соответствии с вашей внутренней процедурой управления изменениями.

По вопросам получения дистрибутивов и порядка обновления обращайтесь в службу поддержки.