CVE-2025-10970: Injeção de SQL cega no Talentics da Kolay Software
A CVE-2025-10970 descreve uma injeção de SQL cega (CWE-89) no Talentics, produto da Kolay Software Inc. O CNA, o USOM, atribuiu nota 9.8 (crítica) no CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário. O registro não traz entradas de versões afetadas, correção ou inclusão no catálogo KEV, e o fornecedor não respondeu.
Visão geral
A CVE-2025-10970 é uma fragilidade de injeção de SQL cega (CWE-89) que afeta o Talentics, produto da Kolay Software Inc. O CNA indicado no registro é o USOM, e a descrição informa que o fornecedor não respondeu ao contato antecipado sobre a divulgação.
Impacto
De acordo com o vetor CVSS 3.1 registrado pelo CNA, a nota reflete alto impacto na confidencialidade, integridade e disponibilidade. Em termos gerais, uma falha de injeção de SQL pode permitir a leitura ou alteração de dados do banco de dados, dependendo de como a aplicação foi construída e configurada. O impacto real em cada implantação é desconhecido a partir do registro.
Produtos e versões afetadas
A descrição indica que a questão afeta o Talentics até 20022026. Essa string é reproduzida como consta e não corresponde claramente a um esquema padrão de versões. A lista estruturada de afetados está vazia, por isso não há faixa de versões verificada. Confirme a exposição das suas instalações junto ao fornecedor ou nos avisos nacionais citados.
Status de exploração
Nenhuma exploração confirmada aparece nas fontes consultadas. A entrada não consta no catálogo KEV da CISA. A probabilidade EPSS registrada é 0,00315, com percentil de 0,22648.
Correção e mitigação
- O registro não lista correção. A ausência de correção listada não confirma que ela não exista.
- Entre em contato com a Kolay Software para obter atualização, aviso ou orientação sobre as versões afetadas.
- Até que uma correção seja verificada, limite a exposição de rede da aplicação, restrinja o acesso a usuários confiáveis e considere regras de firewall de aplicação web como controle compensatório temporário.
- Equipes que mantêm integrações próprias devem usar consultas parametrizadas e validação rigorosa de entradas.
Orientações de detecção
- Revise logs da aplicação web e do banco de dados em busca de comportamento incomum de consultas, como requisições repetidas aos mesmos parâmetros com respostas ou tempos inconsistentes.
- Monitore alertas do WAF relacionados a assinaturas de SQL e faça a triagem com prioridade.
- Mantenha a retenção de logs suficiente para investigar atividades passadas.
Limitações das informações disponíveis
- A lista de afetados está vazia e a string de versão não é uma referência padrão.
- O registro não contém correção, declaração do fornecedor nem detalhes técnicos além da classificação.
- A data do EPSS registrada é 2026-10-13, que deve ser validada na fonte antes do uso.
- Fontes consultadas: registro NVD, registro CVE, aviso do USOM e aviso da Siber Güvenlik.
Perguntas frequentes
O que é a CVE-2025-10970?
É uma fragilidade de injeção de SQL cega (CWE-89) no Talentics da Kolay Software Inc., com nota 9.8 (crítica) no CVSS 3.1 atribuída pelo CNA USOM.
Há correção ou exploração conhecida?
O registro não lista correção nem inclusão no KEV. Não aparece exploração confirmada nas fontes consultadas, por isso consulte o fornecedor e os avisos nacionais para atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.