CVE-2023-25292
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W Intermesh BV Group-Office w wersji 6.6.145 wykryto odbiciowe podatność na ataki typu Cross Site Scripting (XSS). Atakujący może wykorzystać ciasteczko GO_LANGUAGE do eskalacji uprawnień i uzyskania wrażliwych informacji.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kont użytkowników oraz kradzieży poufnych danych organizacji przez zdalnego atakującego bez uwierzytelnienia.
Rekomendacja
Należy niezwłocznie zaktualizować Group-Office do najnowszej wersji oraz skonfigurować mechanizmy ochrony przed XSS, takie jak Content Security Policy.
Inne podatności w Group-Office
Zobacz wszystkie- CVE-2026-34838Krytyczne
Group-Office przed wersjami 6.8.156, 25.0.90 i 26.0.12 ma podatność w modelu AbstractSettingsCollection prowadzącą do niezabezpieczonej deserializacji, co umożliwia zapis dowolnego pliku i zdalne wykonanie kodu.
- CVE-2026-45551Średnie
W Group-Office przed wersjami 26.0.25, 25.0.100 i 6.8.165, uwierzytelnieni użytkownicy mogą utrwalać dowolne ustawienia legacy dla dowolnego user_id. Osobny problem w module poczty e-mail wstrzykuje ustawienie email_font_size bezpośrednio do JavaScript bez escapowania. Niskouprzywilejowany użytkownik może nadpisać ustawienie email_font_size administratora ładunkiem JavaScript i wywołać trwałe XSS w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
Reflected Cross Site Scripting (XSS) in Intermesh BV Group-Office version 6.6.145, allows attackers to gain escalated privileges and gain sensitive information via the GO_LANGUAGE cookie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS