CVE-2025-35041

highPriorität · verfolgen · 0EPSS 0.003 · 26. PerzentilEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.33% (26th) EPSS

CVSS 7.5 · high

Is it mine?

16 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · cisa_csaf_it · nvd

EPSS · bewertet 2026-10-27

Airship AI Acropolis allows unlimited MFA attempts for 15 minutes after a user has logged in with valid credentials. A remote attacker with valid credentials could brute-force the 6-digit MFA code. Fixed in 10.2.35, 11.0.21, and 11.1.9.

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenAcropoliscisa_csaf_it
Fixed in 10.2.35, 11.0.21, and 11.1.9.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.7

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 5.2–7.7

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:Hsecondary · CISA US

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HsecondaryAusnutzbarkeit 1.6 · Auswirkung 5.9

v4.07.7highCVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:Nsecondary · ENISA EU

v4.07.7highCVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary

v4.05.2mediumCVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-307USCWE-307US

betroffene Produkte (16)

Betroffene Produkte und Versionsbereiche.

Airship AI Acropolis 10.2.35alle Versionenfixedcisa_csaf_itUS
Airship AI Acropolis 11.0.21alle Versionenfixedcisa_csaf_itUS
Airship AI Acropolis 11.1.9alle Versionenfixedcisa_csaf_itUS
Airship AI Acropolis <10.2.35alle Versionencisa_csaf_itUS
Airship AI Acropolis <11.0.21alle Versionencisa_csaf_itUS
Airship AI Acropolis <11.1.9alle Versionencisa_csaf_itUS
Airship AI Acropolisalle Versionenfixedcisa_csaf_itUS
Airship AI Acropolis< 10.2.35cisa_csaf_itUS
Airship AI Acropolis< 11.0.21cisa_csaf_itUS
Airship AI Acropolis< 11.1.9cisa_csaf_itUS
Airship AI Acropolis0 → 10.2.35enisa_euvdEU
Airship AI Acropolis0 → 11.0.21enisa_euvdEU
Airship AI Acropolis0 → 11.1.9enisa_euvdEU
airship.ai acropolis< 10.2.35nvdUScpe:2.3:a:airship.ai:acropolis:*:*:*:*:*:*:*:*
airship.ai acropolis11.0.0 → 11.0.21nvdUScpe:2.3:a:airship.ai:acropolis:*:*:*:*:*:*:*:*
airship.ai acropolis11.1.0 → 11.1.9nvdUScpe:2.3:a:airship.ai:acropolis:*:*:*:*:*:*:*:*

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

VA-25-265-01Airship AI MFA bypass and default credentials vulnerabilities2025-09-22csaf · cisa_csaf_itUS
Airship AI Acropolis is used for video and data management. In versions before 11.1.9, 11.0.21, and 10.2.35, a remote unauthenticated attacker with valid credentials can brute force the MFA code and authenticate without an additional authentication method. Improperly configured systems could also allow an attacker to log in with unchanged default credentials.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cisa_csaf_it nvd NVD CVE.org MITRE

veröffentlicht 2025-09-22geändert 2026-06-17

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan