CVE-2025-11945

NiskieCVSS 3.5

Opublikowano: 19/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

W toeverything AFFiNE do wersji 0.24.1 zidentyfikowano lukę w komponencie Avatar Upload Image Endpoint. Manipulacja danymi prowadzi do cross site scripting, a exploit jest publicznie dostępny.

Ocena ryzyka

Zdalny atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika, prowadząc do kradzieży sesji lub danych. Publiczna dostępność exploitu zwiększa prawdopodobieństwo ataku.

Rekomendacja

Zaktualizuj AFFiNE do wersji nowszej niż 0.24.1, gdy tylko producent wyda poprawkę. Do tego czasu ogranicz możliwość przesyłania awatarów i wdrażaj sanityzację danych wejściowych.

Inne podatności w AFFiNE

CVE-2026-59262Średnie
Podatność w AFFiNE umożliwia uwierzytelnionym członkom przestrzeni roboczej odczyt historii edycji dokumentów bez wymaganych uprawnień. Pole GraphQL 'histories' nie sprawdza uprawnienia Doc.Read przed udostępnieniem danych.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in toeverything AFFiNE up to 0.24.1. This vulnerability affects unknown code of the component Avatar Upload Image Endpoint. Such manipulation leads to cross site scripting. The attack may be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS