CVE-2025-11441
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji komponentu HTTP Header Handler. Manipulacja argumentem X-Forwarded-For prowadzi do nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny. Zalecane jest zainstalowanie poprawki o identyfikatorze 11e99960e14ca986b1a001a56e7533223d2cfa5b.
Ocena ryzyka
Atakujący może obejść ograniczenia prób logowania, co może umożliwić ataki brute-force na konta użytkowników, ale wysoka złożoność ataku zmniejsza ryzyko.
Rekomendacja
Zainstaluj dostępną poprawkę (commit 11e99960e14ca986b1a001a56e7533223d2cfa5b) lub zaktualizuj OpnForm do nowszej wersji.
Inne podatności w OpnForm
Zobacz wszystkie- CVE-2026-75106Krytyczne
OpnForm wyprowadza sekrety edytowalnych zgłoszeń z sekwencyjnych identyfikatorów wierszy za pomocą Hashids z pustą domyślną solą, co pozwala nieuwierzytelnionym atakującym na obliczenie skrótów dla dowolnego zgłoszenia. Atakujący mogą odczytać pełne dane zgłoszeń innych respondentów przez endpoint pobierania zgłoszeń lub nadpisać zgłoszenia, dostarczając przewidywane skróty do endpointu odpowiedzi.
- CVE-2025-11443Niskie
Słabość w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji w pliku /api/password/email komponentu Forgotten Password Handler. Manipulacja powoduje ujawnienie informacji przez rozbieżność. Atak może być zainicjowany zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publiczny. Problem jest obecnie zgodny z Laravel issue #46465, dlatego nie podjęto działań łagodzących.
- CVE-2025-11437Niskie
Wada w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej części pliku /api/open/forms/ komponentu Form Editor. Manipulacja powoduje cross site scripting. Atak może być inicjowany zdalnie. Exploit został opublikowany. Producent stwierdził, że funkcja jest wyłączona, dopóki użytkownik nie skonfiguruje własnej domeny, co łagodzi wektor ataku.
- CVE-2025-11436Średnie
W systemie OpnForm do wersji 1.9.3 odkryto podatność polegającą na nieograniczonym przesyłaniu plików w pliku /answer. Atak może być przeprowadzony zdalnie. Exploit jest publiczny, a dostępna jest poprawka.
- CVE-2025-11435Średnie
W systemie OpnForm (do wersji 1.9.3) firmy JhumanJ wykryto podatność na cross-site scripting (XSS) w pliku /show/submissions. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany. Dostępna jest poprawka o identyfikatorze a2af1184e53953afa8cb052f4055f288adcaa608.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in JhumanJ OpnForm up to 1.9.3. The affected element is an unknown function of the component HTTP Header Handler. The manipulation of the argument X-Forwarded-For leads to improper restriction of excessive authentication attempts. The attack is possible to be carried out remotely. A high degree of complexity is needed for the attack. The exploitability is described as difficult. The exploit is publicly available and might be used. The identifier of the patch is 11e99960e14ca986b1a001a56e7533223d2cfa5b. It is suggested to install a patch to address this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS