CVE-2025-11443
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Słabość w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji w pliku /api/password/email komponentu Forgotten Password Handler. Manipulacja powoduje ujawnienie informacji przez rozbieżność. Atak może być zainicjowany zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publiczny. Problem jest obecnie zgodny z Laravel issue #46465, dlatego nie podjęto działań łagodzących.
Ocena ryzyka
Atakujący może wykorzystać różnice w odpowiedziach do enumeracji kont użytkowników, co może prowadzić do ujawnienia informacji, ale wysoka złożoność ogranicza ryzyko.
Rekomendacja
Monitoruj informacje o poprawkach od producenta i rozważ zastosowanie dodatkowych zabezpieczeń, takich jak ograniczenie dostępu do endpointu.
Inne podatności w OpnForm
Zobacz wszystkie- CVE-2026-75106Krytyczne
OpnForm wyprowadza sekrety edytowalnych zgłoszeń z sekwencyjnych identyfikatorów wierszy za pomocą Hashids z pustą domyślną solą, co pozwala nieuwierzytelnionym atakującym na obliczenie skrótów dla dowolnego zgłoszenia. Atakujący mogą odczytać pełne dane zgłoszeń innych respondentów przez endpoint pobierania zgłoszeń lub nadpisać zgłoszenia, dostarczając przewidywane skróty do endpointu odpowiedzi.
- CVE-2025-11441Niskie
Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji komponentu HTTP Header Handler. Manipulacja argumentem X-Forwarded-For prowadzi do nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny. Zalecane jest zainstalowanie poprawki o identyfikatorze 11e99960e14ca986b1a001a56e7533223d2cfa5b.
- CVE-2025-11437Niskie
Wada w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej części pliku /api/open/forms/ komponentu Form Editor. Manipulacja powoduje cross site scripting. Atak może być inicjowany zdalnie. Exploit został opublikowany. Producent stwierdził, że funkcja jest wyłączona, dopóki użytkownik nie skonfiguruje własnej domeny, co łagodzi wektor ataku.
- CVE-2025-11436Średnie
W systemie OpnForm do wersji 1.9.3 odkryto podatność polegającą na nieograniczonym przesyłaniu plików w pliku /answer. Atak może być przeprowadzony zdalnie. Exploit jest publiczny, a dostępna jest poprawka.
- CVE-2025-11435Średnie
W systemie OpnForm (do wersji 1.9.3) firmy JhumanJ wykryto podatność na cross-site scripting (XSS) w pliku /show/submissions. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany. Dostępna jest poprawka o identyfikatorze a2af1184e53953afa8cb052f4055f288adcaa608.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in JhumanJ OpnForm up to 1.9.3. This affects an unknown function of the file /api/password/email of the component Forgotten Password Handler. This manipulation causes information exposure through discrepancy. It is possible to initiate the attack remotely. The attack is considered to have high complexity. The exploitability is reported as difficult. The exploit has been made available to the public and could be exploited. This issue is currently aligned with Laravel issue #46465, which is why no mitigation action was taken.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS