CVE-2025-11438
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W JhumanJ OpnForm do wersji 1.9.3 wykryto podatność w pliku /custom-domains w komponencie API Endpoint. Manipulacja prowadzi do braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Nazwa patcha to beb153ce52dceb971c1518f98333328c95f1ba20.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji bez wymaganej autoryzacji, co może prowadzić do nieautoryzowanych zmian lub wycieku danych. Może to naruszyć integralność i poufność systemu.
Rekomendacja
Należy jak najszybciej zastosować patch o identyfikatorze beb153ce52dceb971c1518f98333328c95f1ba20 lub zaktualizować do nowszej wersji.
Inne podatności w JhumanJ OpnForm
Zobacz wszystkie- CVE-2025-11442Średnie
Odkryto lukę w bezpieczeństwie JhumanJ OpnForm do wersji 1.9.3. Dotyczy nieznanej funkcji komponentu API Endpoint i polega na podatności na cross-site request forgery. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony. Producent twierdzi, że wywołania API wymagają uwierzytelnienia przez tokeny Bearer, więc klasyczne ataki CSRF nie mają zastosowania; atakujący musiałby posiadać JWT np. poprzez XSS, które zostały złagodzone.
- CVE-2025-11440Średnie
Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieprawidłowej kontroli dostępu w pliku /edit. Atak może być przeprowadzony zdalnie. Exploit jest publicznie ujawniony. Zalecana jest poprawka b15e29021d326be127193a5dbbd528c4e37e6324.
- CVE-2025-11439Średnie
Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy braku autoryzacji w pliku /show/integrations. Atak może być przeprowadzony zdalnie. Exploit jest publicznie ujawniony. Zalecana jest poprawka 11d97d78f2de2cb49f79baed6bde8b611ec1f384.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in JhumanJ OpnForm up to 1.9.3. This vulnerability affects unknown code of the file /custom-domains of the component API Endpoint. Such manipulation leads to missing authorization. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The name of the patch is beb153ce52dceb971c1518f98333328c95f1ba20. It is best practice to apply a patch to resolve this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS