Sự cố bảo mật được theo dõi với mã định danh CVE-2025-59689, lỗ hổng được kích hoạt bằng cách gửi tệp đính kèm email độc hại và cho phép thực thi các lệnh shell tùy ý.

Bản tin bảo mật cho biết: “Libraesva ESG bị ảnh hưởng bởi lỗ hổng chèn lệnh có thể được kích hoạt bởi một email độc hại với tệp đính kèm nén, cho phép thực thi các lệnh tùy ý với tư cách là người dùng không có đặc quyền. Điều này xảy ra do quá trình sanitization không đúng cách khi xóa code đang hoạt động khỏi các tệp có trong một số định dạng lưu trữ nén”.

CVE-2025-59689 ảnh hưởng đến tất cả các phiên bản Libraesva ESG từ 4.5 trở lên, nhưng bản sửa lỗi có sẵn trong các phiên bản sau: 5[.]0[.]31, 5[.]1[.]20, 5[.]2[.]31, 5[.]3[.]16, 5[.]4[.]8 và 5[.]5[.]7.

Khách hàng sử dụng phiên bản dưới 5[.]0 phải nâng cấp thủ công lên bản phát hành được hỗ trợ vì phiên bản này đã hết vòng đời và sẽ không nhận được bản vá cho CVE-2025-59689.

Libraesva cho biết bản vá được phát hành dưới dạng bản cập nhật khẩn cấp 17 giờ sau khi phát hiện lỗ hổng. Bản vá này giải quyết nguyên nhân gốc rễ của lỗ hổng, quét tự động để tìm dấu hiệu xâm phạm nhằm xác định xem môi trường đã bị tấn công hay chưa và mô-đun tự đánh giá để xác minh việc áp dụng đúng bản cập nhật bảo mật.

Nhà cung cấp cũng bình luận về cuộc tấn công, cho biết rằng kẻ tấn công tập trung vào một thiết bị duy nhất cho thấy độ chính xác, nhấn mạnh tầm quan trọng của hành động khắc phục nhanh chóng.