CVE-2025-10492

criticalPriorität · verfolgen · 39EPSS 0.009 · 60. PerzentilDEEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.92% (60th) EPSS

CVSS 9.8 · critical

Is it mine?

24 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · cert_bund · cisa_csaf_ot

EPSS · bewertet 2026-10-27

A Java deserialisation vulnerability has been discovered in Jaspersoft Library. Improper handling of externally supplied data may allow attackers to execute arbitrary code remotely on systems that use the affected library

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenAsset Suitecisa_csaf_ot
Update to version 9.8
MitigationAsset Suitecisa_csaf_ot
Apply general mitigation factors
MitigationEllipsecisa_csaf_ot
Since the vulnerability exists in Jasper Report component that is external to Ellipse application, restrict the loading of external custom reports created by end users by allowing only trusted Jasper reports generated by the system administrator.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–critical · 6.3–9.8

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · CISA US

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v4.08.7highCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:Nsecondary · ENISA EU

v4.08.7highCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary

v4.06.3mediumCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-502USCWE-502USCWE-502US

betroffene Produkte (24)

Betroffene Produkte und Versionsbereiche.

TIBCO JasperReports JasperReports I/O v4.0alle Versionencert_bundDEcpe:/a:tibco:jasperreports_server:jasperreports_io_v4.0
TIBCO JasperReports Library Professional & Jaspersoft Studio Professionalalle Versionencert_bundDEcpe:/a:tibco:jasperreports_server:library_professional__jaspersoft_studio_professional
TIBCO JasperReports Server v8.0alle Versionencert_bundDEcpe:/a:tibco:jasperreports_server:server_v8.0
TIBCO JasperReports Server v9.0alle Versionencert_bundDEcpe:/a:tibco:jasperreports_server:server_v9.0
TIBCO JasperReports Web Studio v3.0alle Versionencert_bundDEcpe:/a:tibco:jasperreports_server:web_studio_v3.0
Ellipse versions 9.0.50 and prioralle Versionencisa_csaf_otUS
Hitachi Energy Asset Suite≤ vers:Asset_Suite/<=9.7cisa_csaf_otUS
Hitachi Energy Ellipse≤ vers:Ellipse/<=9.0.50cisa_csaf_otUS
Jaspersoft JasperReports IO At-Scale≤ 0 ≤4.0.0enisa_euvdEU
Jaspersoft JasperReports IO Professional≤ 0 ≤4.0.0enisa_euvdEU
Jaspersoft JasperReports Library Community Edition≤ 0 ≤7.0.3enisa_euvdEU
Jaspersoft JasperReports Library Professional≤ 0 ≤9.0.2enisa_euvdEU
Jaspersoft JasperReports Server≤ 0 ≤9.0.0enisa_euvdEU
Jaspersoft JasperReports Web Studio≤ 0 ≤3.0.1enisa_euvdEU
Jaspersoft Jaspersoft Studio Community Edition≤ 0 ≤7.0.3enisa_euvdEU
Jaspersoft Jaspersoft Studio Professional≤ 0 ≤9.0.2enisa_euvdEU
cloud jasperreports io≤ 4.0.0nvdUScpe:2.3:a:cloud:jasperreports_io:*:*:*:*:*:*:*:*
cloud jasperreports library≤ 7.0.3nvdUScpe:2.3:a:cloud:jasperreports_library:*:*:*:*:*:*:*:*
cloud jasperreports library≤ 9.0.2nvdUScpe:2.3:a:cloud:jasperreports_library:*:*:*:*:*:*:*:*
cloud jasperreports server≤ 9.0.0nvdUScpe:2.3:a:cloud:jasperreports_server:*:*:*:*:*:*:*:*

20 von 24 angezeigt

Advisories (4)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2025-2067JasPer: Schwachstelle ermöglicht CodeausführungDeutsch2025-09-16csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in JasPer ausnutzen, um beliebigen Programmcode auszuführen.
GHSA-7c3f-cg9x-f3grJasperReports has a Java deserialisation vulnerability2025-09-16ghsa · osvUS
A Java deserialisation vulnerability has been discovered in the Jaspersoft Library. Improper handling of externally supplied data may allow attackers to execute arbitrary code remotely on systems that use the affected library.
ICSA-26-008-01Hitachi Energy Asset Suite2025-12-09icsa · cisa_csaf_otUS
Hitachi Energy is aware of a Jasper Report vulnerability that affects the Asset Suite product versions mentioned in this document below. This vulnerability can be exploited to carry out remote code execution (RCE) attack on the product. Please refer to the Recommended Immediate Actions for information about the mitigation/remediation.
ICSA-26-092-03Hitachi Energy Ellipse2026-02-24icsa · cisa_csaf_otUS
Hitachi Energy is aware of a Jasper Report vulnerability that affects the Ellipse product versions mentioned in this document below. This vulnerability can be exploited to carry out remote code execution (RCE) attack on the product. Please refer to the Recommended Immediate Actions for information about the mitigation/remediation.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund cisa_csaf_ot nvd osv NVD CVE.org MITRE

veröffentlicht 2025-09-16geändert 2026-06-17

Referenzen (5)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan