Агентство з кібербезпеки та безпеки інфраструктури США (CISA) 2 жовтня 2025 року додало вразливість високої тяжкості в Smartbedded Meteobridge, позначену як CVE-2025-4008 (CVSS: 8.7), до каталогу відомих експлуатованих вразливостей (KEV), посилаючись на докази активної експлуатації. Ця вада є командною ін’єкцією в веб-інтерфейсі Meteobridge, яка дозволяє віддаленим неавтентифікованим зловмисникам виконувати довільні команди з підвищеними привілеями (root) на уражених пристроях. Відкрита компанією ONEKEY наприкінці лютого 2025 року, вразливість пов’язана з небезпечним використанням eval-викликів у скрипті “/cgi-bin/template.cgi”, що написаний на CGI shell-скриптах і C. Це дозволяє зловмисникам надсилати спеціально сформовані запити для виконання коду, наприклад, через curl-команду. Експлуатація можлива віддалено без автентифікації, навіть через шкідливі веб-сторінки з використанням GET-запитів, як-от вбудовування в теги зображень. Наразі немає публічних звітів про деталі експлуатації в реальних умовах.

CISA також додала чотири інші вразливості: CVE-2025-21043 (out-of-bounds write в Samsung), CVE-2017-1000353 (десеріалізація в Jenkins), CVE-2015-7755 (неправильна автентифікація в Juniper ScreenOS) та CVE-2014-6278 (Shellshock в GNU Bash). Федеральні агентства повинні застосувати оновлення до 23 жовтня 2025 року.