CVE Intelligence
Alta Injeção

CVE-2025-10703 — Code Injection em Progress DataDirect Connect for JDBC Autonomous REST Connector

Improper Control of Generation of Code ('Code Injection') vulnerability in Progress DataDirect Connect for JDBC drivers, Progress DataDirect Open Access JDBC driver and Hybrid Data Pipeline allows Remote Code Inclusion. The SpyAttribute connection option implemented by the DataDirect Connect for JDBC drivers, DataDirect Hybrid Data Pipeline JDBC driver and the DataDirect OpenAccess JDBC driver log=(file) construct allows the user to specify an arbitrary file for the JDBC driver to write its log information to.  If an application allows an end user to specify a value for the SpyAttributes connection option then an attacker could cause java script to be written to a log file.  If the log file was in the correct location with the correct extension, an application server could see that log file as a resource to be served.  The attacker could fetch the resource from the server causing the java script to be executed. This issue affects: DataDirect Connect for JDBC for Amazon Redshift: through 6.0.0.001392, fixed in 6.0.0.001541 DataDirect Connect for JDBC for Apache Cassandra: through 6.0.0.000805, fixed in 6.0.0.000833 DataDirect Connect for JDBC for Hive: through 6.0.1.001499, fixed in 6.0.1.001628 DataDirect Connect for JDBC for Apache Impala: through 6.0.0.001155, fixed in 6.0.0.001279 DataDirect Connect for JDBC for Apache SparkSQL: through 6.0.1.001222, fixed in 6.0.1.001344 DataDirect Connect for JDBC Autonomous REST Connector: through 6.0.1.006961, fixed in 6.0.1.007063 DataDirect Connect for JDBC for DB2: through 6.0.0.000717, fixed in 6.0.0.000964 DataDirect Connect for JDBC for Google Analytics 4: through 6.0.0.000454, fixed in 6.0.0.000525 DataDirect Connect for JDBC for Google BigQuery: through 6.0.0.002279, fixed in 6.0.0.002410 DataDirect Connect for JDBC for Greenplum: through 6.0.0.001712, fixed in 6.0.0.001727 DataDirect Connect for JDBC for Informix: through 6.0.0.000690, fixed in 6.0.0.0851 DataDirect Connect for JDBC for Microsoft Dynamics 365: through 6.0.0.003161, fixed in 6.0.0.3198 DataDirect Connect for JDBC for Microsoft SQLServer: through 6.0.0.001936, fixed in 6.0.0.001957 DataDirect Connect for JDBC for Microsoft Sharepoint: through 6.0.0.001559, fixed in 6.0.0.001587 DataDirect Connect for JDBC for MongoDB: through 6.1.0.001654, fixed in 6.1.0.001669 DataDirect Connect for JDBC for MySQL: through 5.1.4.000330, fixed in 5.1.4.000364 DataDirect Connect for JDBC for Oracle Database: through 6.0.0.001747, fixed in 6.0.0.001776 DataDirect Connect for JDBC for Oracle Eloqua: through 6.0.0.001438, fixed in 6.0.0.001458 DataDirect Connect for JDBC for Oracle Sales Cloud: through 6.0.0.001225, fixed in 6.0.0.001316 DataDirect Connect for JDBC for Oracle Service Cloud: through 5.1.4.000298, fixed in 5.1.4.000309 DataDirect Connect for JDBC for PostgreSQL: through 6.0.0.001843, fixed in 6.0.0.001856 DataDirect Connect for JDBC for Progress OpenEdge: through 5.1.4.000187, fixed in 5.1.4.000189 DataDirect Connect for JDBC for Salesforce: through 6.0.0.003020, fixed in 6.0.0.003125 DataDirect Connect for JDBC for SAP HANA: through 6.0.0.000879, product retired DataDirect Connect for JDBC for SAP S/4 HANA: through 6.0.1.001818, fixed in 6.0.1.001858 DataDirect Connect for JDBC for Sybase ASE: through 5.1.4.000161, fixed in 5.1.4.000162 DataDirect Connect for JDBC for Snowflake: through 6.0.1.001821, fixed in 6.0.1.001856 DataDirect Hybrid Data Pipeline Server: through 4.6.2.3309, fixed in 4.6.2.3430 DataDirect Hybrid Data Pipeline JDBC Driver: through 4.6.2.0607, fixed in 4.6.2.1023 DataDirect Hybrid Data Pipeline On Premises Connector: through 4.6.2.1223, fixed in 4.6.2.1339 DataDirect Hybrid Data Pipeline Docker: through 4.6.2.3316, fixed in 4.6.2.3430 DataDirect OpenAccess JDBC Driver: through 8.1.0.0177, fixed in 8.1.0.0183 DataDirect OpenAccess JDBC Driver: through 9.0.0.0019, fixed in 9.0.0.0022

Descrição oficial em inglês (tradução ainda não revisada).

Publicada em 19/11/2025 · Atualizada em 13/10/2026 · Fontes: NIST National Vulnerability Database, CVE Program (cve.org) e CISA ADP · CNA: ProgressSoftware

Quem explora e qual a prioridade

Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.

Nenhum sinal de exploração nas fontes consultadas até agora.
Como a nota foi calculada
  • EPSS 0.3% (probabilidade de exploração em 30 dias)+3
  • Severidade técnica (high)+6

A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).

Triagem

Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.

Exploração
Não confirmada
Fora da CISA KEV — ausência de registro, não prova de que não é explorada.
EPSS FIRST
0,3%
à frente de 21% das CVEs pontuadas · 14/10/2026
Afeta
Progress
DataDirect Connect for JDBC Autonomous REST Connector e mais 31
CVSS base
8.6
Alta · 2 fonte(s)

Avaliação SSVC da CISA CISA

Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.

Exploração
Nenhuma
nenhuma · prova de conceito · ativa
Automatizável
Não
se um atacante consegue automatizar as etapas da cadeia de ataque
Impacto técnico
Total
parcial · controle total do componente vulnerável

Remediação

Correções e mitigações documentadas pelas fontes — com link para o aviso original.

Nenhuma correção documentada pelas fontes consultadas. Isso não significa que não exista: verifique o aviso do fabricante.

Primeiras 24 horas

Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.

  1. Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Progress DataDirect Connect for JDBC Autonomous REST Connector, Progress DataDirect Connect for JDBC for Amazon Redshift, Progress DataDirect Connect for JDBC for Apache Cassandra…).
  2. Nenhuma correção documentada nas fontes: reduza a exposição e monitore o aviso do fabricante.
  3. Procure nos logs disponíveis sinais de tentativa de exploração compatíveis com a classe da falha (injeção), erros e anomalias de autenticação.

Escopo afetado

Fabricante, produto e versões como as fontes os descrevem.

FabricanteProdutoVersõesStatusFonte
Progress DataDirect Connect for JDBC Autonomous REST Connector ≤ 6.0.1.006961 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Amazon Redshift ≤ 6.0.0.001392 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Apache Cassandra ≤ 6.0.0.000805 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Apache Impala ≤ 6.0.0.001155 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Apache SparkSQL ≤ 6.0.1.001222 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for DB2 ≤ 6.0.0.000717 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Google Analytics 4 ≤ 6.0.0.000454 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Google BigQuery ≤ 6.0.0.002279 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Greenplum ≤ 6.0.0.001712 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Hive ≤ 6.0.1.001499 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Informix ≤ 6.0.0.000690 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Microsoft Dynamics 365 ≤ 6.0.0.003161 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Microsoft Sharepoint ≤ 6.0.0.001559 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Microsoft SQLServer ≤ 6.0.0.001936 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for MongoDB ≤ 6.1.0.001654 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for MySQL ≤ 5.1.4.000330 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Oracle Database ≤ 6.0.0.001747 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Oracle Eloqua ≤ 6.0.0.001438 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Oracle Sales Cloud ≤ 6.0.0.001225 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Oracle Service Cloud ≤ 5.1.4.000298 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for PostgreSQL ≤ 6.0.0.001843 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Progress OpenEdge ≤ 5.1.4.000187 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Salesforce ≤ 6.0.0.003020 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for SAP HANA ≤ 6.0.0.000879 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for SAP S/4 HANA ≤ 6.0.0.001818 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Snowflake ≤ 6.0.1.001821 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Connect for JDBC for Sybase ASE ≤ 5.1.4.000161 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Hybrid Data Pipeline Docker ≤ 4.6.2.3316 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Hybrid Data Pipeline JDBC Driver ≤ 4.6.2.0607 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Hybrid Data Pipeline On Premises Connector ≤ 4.6.2.1223 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect Hybrid Data Pipeline Server ≤ 4.6.2.3309 Vulnerável CVE Program (cve.org) e CISA ADP
Progress DataDirect OpenAccess JDBC Driver ≤ 8.1.0.0177≤ 9.0.0.0019 Vulnerável CVE Program (cve.org) e CISA ADP

Características do ataque

O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.

Vetor de ataque
Rede
Complexidade
Baixa
Requisitos de ataque
Nenhum
Privilégios exigidos
Baixos
Interação do usuário
Nenhuma
Escopo
X
Confidencialidade (sistema vulnerável)
Baixo
Integridade (sistema vulnerável)
Alto
Disponibilidade (sistema vulnerável)
Alto
Confidencialidade (subsequente)
Alto
Integridade (subsequente)
Alto
Disponibilidade (subsequente)
Alto

Todas as pontuações coletadas

As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.

NotaVersãoSeveridadeExplor.ImpactoPontuado por
8.6 CVSS 4.0 Alta — — security@progress.com via NIST National Vulnerability Database
8.6 CVSS 4.0 Alta — — ProgressSoftware via CVE Program (cve.org) e CISA ADP
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X (nota exibida no topo: security@progress.com)

Fraqueza MITRE

Classe de fraqueza segundo o catálogo CWE do MITRE.

CWE-94 · Code Injection

Outras CVEs com esta fraqueza →

EPSS ao longo do tempo FIRST

13/10/2026 → 14/10/2026 · 2 leitura(s) · máximo 0.30%

Detecção

Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.

  • Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
  • Procure parâmetros com metacaracteres de comando/consulta e processos filhos inesperados do serviço.
logs web/proxy/WAFIDS/IPS de redelogs da aplicaçãotelemetria de endpoint (EDR)

Linha do tempo

O que aconteceu com esta CVE, do mais recente ao mais antigo.

  • 2026
  • Produtos afetados adicionados · progress/datadirect connect for jdbc for amazon redshift, progress/datadirect connect for jdbc for apache cassandra, pro
    13/10/2026 · CVE Program (cve.org) e CISA ADP
  • Avaliação SSVC atualizada
    13/10/2026 · CVE Program (cve.org) e CISA ADP
  • Ficha publicada
    13/10/2026
  • CVSS alterado · 8.6
    13/10/2026 · NIST National Vulnerability Database
  • Status na fonte alterado · → Deferred
    13/10/2026 · NIST National Vulnerability Database
  • Registro criado nesta base
    13/10/2026 · NIST National Vulnerability Database
  • 2025
  • CVE publicada
    19/11/2025 · ProgressSoftware

Atividade das fontes

Leituras que se repetem foram contadas em vez de listadas.

  • 1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026

Referências

1 no registro

Em outras páginas do site

Progress
todas as CVEs deste fabricante
Injeção
mesma classe
CWE-94
outras páginas com esta fraqueza

CVEs relacionadas (mesmos produtos)

  • CVE-2025-10702 Code Injection em Progress DataDirect Connect for JDBC for Amazon Redshift 19/11/2025

Não consta em nenhuma fonte consultada

Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.

  • Nenhuma versão corrigida, patch ou mitigação documentada.
  • Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
  • Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
  • Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.

Respondido a partir deste registro

Texto montado apenas com os campos acima — sem afirmações adicionais.

O que os defensores devem saber primeiro?

CVE-2025-10703 é "Code Injection em Progress DataDirect Connect for JDBC Autonomous REST Connector", de severidade Alta. Afeta DataDirect Connect for JDBC Autonomous REST Connector (Progress); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. CVSS 8.6 descreve a severidade técnica. EPSS 0.30% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.

Comentários

Discussão técnica moderada. Leia as regras da comunidade.

Nenhum comentário ainda.

Entre ou crie uma conta para comentar e sugerir correções.