CVE-2025-11946
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W LogicalDOC Community Edition do wersji 9.2.1 wykryto lukę w pliku /frontend.jsp w komponencie Add Contact Page. Manipulacja argumentami First Name/Last Name/Company/Address/Phone/Mobile prowadzi do cross site scripting, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, przechwytując sesję lub dane logowania. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Zaktualizuj LogicalDOC do wersji nowszej niż 9.2.1, gdy tylko producent wyda poprawkę. Do tego czasu ogranicz dostęp do interfejsu i wdrażaj walidację danych wejściowych po stronie serwera.
Inne podatności w LogicalDOC Community Edition
Zobacz wszystkie- CVE-2017-1000022Wysokie
LogicalDoc Community Edition w wersji 7.5.3 i wcześniejszych zawiera błędne zarządzanie dostępem, co może prowadzić do eskalacji uprawnień.
- CVE-2017-1000021Wysokie
LogicalDoc Community Edition w wersji 7.5.3 i wcześniejszych jest podatny na atak XXE podczas indeksowania dokumentów XML.
- CVE-2025-12546Niskie
LogicalDOC Community Edition do wersji 9.2.1 zawiera podatność na cross-site scripting (XSS) w interfejsie tworzenia kluczy API. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in LogicalDOC Community Edition up to 9.2.1. This issue affects some unknown processing of the file /frontend.jsp of the component Add Contact Page. Performing manipulation of the argument First Name/Last Name/Company/Address/Phone/Mobile results in cross site scripting. Remote exploitation of the attack is possible. The exploit has been released to the public and may be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS