CVE-2025-59467: XSS i UCRM’s AFIP-faktura-plugin
XSS-sårbarhed i UCRM’s Argentina AFIP-faktura-plugin (CVE-2025-59467) kan give angribere adminrettigheder. Opdatér til version 1.3.0, hvis pluginet er aktivt.
Hvad er det?
CVE-2025-59467 er en cross-site scripting-sårbarhed (XSS), hvor en angriber kan indsætte skadelig kode i en webside, som senere afvikles i en anden brugers browser. Sårbarheden findes i AFIP-faktura-pluginet til UCRM, et administrationssystem til internetudbydere, og bruges til at generere skatterelaterede fakturaer efter argentinske regler. Hvis en administrator lokkes til at besøge en forberedt skadelig side, kan angriberen udnytte administratorens session til at eskalere sine rettigheder i UCRM. Fejlen kræver ingen forudgående adgang til systemet, men kræver at administratoren klikker på et link eller besøger en side.
Hvem rammer det?
Sårbarheden rammer virksomheder, der bruger UCRM (Ubiquiti CRM) til fakturering og netværksadministration, og som har installeret AFIP-faktura-pluginet i version 1.2.0 eller tidligere. Pluginet er specifikt til virksomheder, der skal udstede fakturaer efter argentinske skatteregler (AFIP), og er derfor primært relevant for internetudbydere med aktiviteter i Argentina. Pluginet er slået fra som standard, så kun virksomheder, der aktivt har aktiveret det, er berørt.
Hvad kan ske?
Hvis en administrator klikker på et forberedt link, kan angriberen få administratorens rettigheder i UCRM-systemet. Det giver adgang til kundedata, fakturaoplysninger og netværksindstillinger, og angriberen kan i praksis overtage kontrollen med hele UCRM-installationen. For en dansk virksomhed, der driver internetudbyder-aktiviteter mod Argentina, betyder det risiko for datalæk og manipulation af fakturaer.
Hvor alvorligt er det?
CVSS-score er 7,5 ud af 10, hvilket er alvorligt. Angrebet kræver ingen login-adgang for angriberen, men kræver at en administrator udfører en handling, nemlig at besøge en skadelig side. Angrebets kompleksitet er høj, hvilket betyder, at det kræver specifikke forudsætninger for at lykkes. Der er ikke rapporteret aktiv udnyttelse af sårbarheden, og der findes ingen offentlig proof-of-concept-kode på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse risikoen:
- Opdatér AFIP-faktura-pluginet til UCRM til version 1.3.0 eller nyere, hvis pluginet er aktivt i jeres installation.
- Undersøg om pluginet overhovedet er slået til; er det ikke i brug, kan det deaktiveres helt som en ekstra sikring.
- Gennemgå administratorkonti og log for usædvanlig aktivitet, især links eller sider besøgt af administratorer omkring offentliggørelsesdatoen.
- Instruér administratorer i ikke at klikke på links fra ukendte kilder, mens opdateringen udrulles.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere pluginversion eller udføre opdateringen sikkert.
Opdatér inden 14 dage
Vi anbefaler at opdatere AFIP-faktura-pluginet til version 1.3.0, hvis det er aktivt i jeres UCRM-installation. Er pluginet slået fra, og bruger I det ikke, kan opdateringen vente til næste planlagte vedligeholdelsesvindue, da angrebet kræver høj kompleksitet og en administrators aktive handling. Vi anbefaler dog altid at fjerne eller deaktivere plugins, der ikke er i brug, for at reducere angrebsfladen.
Tidslinje
Konkrete eksempler
Internetudbyder med argentinske kunder
En dansk internetudbyder med kunder i Argentina bruger UCRM til fakturering og har aktiveret AFIP-faktura-pluginet for at opfylde lokale skatteregler. En administrator modtager en mail med et link, der ser ud til at komme fra en samarbejdspartner, og klikker på det under en travl arbejdsdag. Linket udløser den skadelige kode i pluginet, og angriberen får administratorens rettigheder i UCRM, hvorefter kundefakturaer og netværksindstillinger kan ændres uden virksomhedens vidende.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I bruger UCRM til netværksadministration og har aktiveret AFIP-faktura-pluginet i version 1.2.0 eller ældre. Pluginet er slået fra som standard, så mange installationer er ikke berørt.
Hvordan tjekker vi, hvilken version af pluginet vi kører?
Log ind i UCRM’s administratorpanel og find plugin-oversigten under systemindstillinger. Der vil versionsnummeret på AFIP-faktura-pluginet stå, hvis det er installeret.
Kan vi vente til weekenden med at opdatere?
Ja, hvis pluginet ikke er aktivt, eller hvis I ikke driver forretning mod Argentina. Er pluginet aktivt og i brug, bør opdateringen ske inden for de næste to uger, da sårbarheden kan give fuld adminadgang.
Kræver angrebet, at angriberen har adgang til vores system i forvejen?
Nej, angriberen behøver ingen forudgående adgang. Angrebet forudsætter dog, at en administrator klikker på et link eller besøger en forberedt skadelig side.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I kan konstatere, at sårbarheden faktisk er blevet udnyttet, og at persondata er kompromitteret. Der er ikke på tidspunktet for offentliggørelsen kendte tilfælde af aktiv udnyttelse.
Hvad gør vi, hvis vi ikke selv kan opdatere pluginet?
Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, der kan verificere pluginversionen og udføre opdateringen sikkert uden at forstyrre den løbende fakturering.
Ramte produkter
Ui: Argentina Afip Invoices
< 1.3.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A Cross-Site Scripting (XSS) vulnerability in the UCRM Argentina AFIP invoices Plugin (v1.2.0 and earlier) could allow privilege escalation if an Administrator is tricked into visiting a crafted malicious page.
This plugin is disabled by default.
Affected Products:
UCRM Argentina AFIP invoices Plugin (Version 1.2.0 and earlier)
Mitigation:
Update UCRM Argentina AFIP invoices Plugin to Version 1.3.0 or later.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.