CVE-2017-20120
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Znaleziono podatność sklasyfikowaną jako problematyczną w TrueConf Server 4.3.7. Dotyczy ona nieznanego kodu w pliku /admin/service/stop/. Manipulacja prowadzi do cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty.
Ocena ryzyka
Atakujący może zdalnie wymusić na administratorze wykonanie niepożądanych działań, takich jak zatrzymanie usługi, co może prowadzić do przerwy w działaniu usługi.
Rekomendacja
Zastosuj aktualizacje dostarczone przez producenta. Dodatkowo wdróż mechanizmy ochrony przed CSRF, takie jak tokeny CSRF, oraz ogranicz dostęp do panelu administracyjnego.
Inne podatności w TrueConf Server
Zobacz wszystkie- CVE-2026-72530KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może użyć specjalnie spreparowanego skryptu, aby wydostać się z izolowanego środowiska i wykonać dowolny kod na systemie hosta.
- CVE-2026-72529KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może wykonać dowolny skrypt, wywołując nieudokumentowaną funkcję.
- CVE-2025-66823Średnie
Podatność na wstrzykiwanie HTML w serwerze TrueConf 5.5.2.10813 w polu opisu konferencji umożliwia atakującemu wstrzyknięcie dowolnego HTML w funkcji tworzenia/edycji konferencji. Ładunek jest wyzwalany, gdy ofiara otworzy stronę informacji o konferencji ([adres konferencji]/info).
- CVE-2025-66834Wysokie
Podatność CSV Formula Injection w TrueConf Server v5.5.2.10813 pozwala zwykłemu użytkownikowi na wstrzyknięcie złośliwych formuł arkusza kalkulacyjnego do eksportowanych logów czatu poprzez spreparowaną nazwę wyświetlaną.
- CVE-2025-66824Wysokie
Podatność Stored Cross-Site Scripting (XSS) w polu lokalizacji spotkania w funkcji Create/Edit Conference w TrueConf Server v5.5.2.10813. Wstrzyknięty payload jest przechowywany przez parametr meeting_room i wykonywany, gdy użytkownicy odwiedzają stronę Conference Info, co pozwala na pełne przejęcie konta (ATO).
Oryginalny opis (angielski, źródło NVD)
A vulnerability classified as problematic was found in TrueConf Server 4.3.7. This vulnerability affects unknown code of the file /admin/service/stop/. The manipulation leads to cross-site request forgery. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.