CVE-2025-12276
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W LearnHouse do wersji 98dfad76aad70711a8113f6c1fdabfccf10509ca wykryto podatność w nieznanej funkcji komponentu Image Handler. Manipulacja prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony i może być wykorzystany. Produkt korzysta z rolling release, więc brak szczegółów wersji.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych informacji, takich jak dane użytkowników lub konfiguracja, co może prowadzić do dalszych ataków. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Wdróż poprawkę od dostawcy lub ogranicz dostęp do komponentu Image Handler. Monitoruj nietypowe żądania i weryfikuj uprawnienia dostępu do obrazów.
Inne podatności w LearnHouse
Zobacz wszystkie- CVE-2026-109564Niskie
LearnHouse przed wersją 1.4.0 zawiera podatność braku autoryzacji w POST /api/v1/playgrounds/{uuid}/duplicate, która pomija sprawdzenia dostępu do odczytu i wersji roboczej egzekwowane przez get_playground. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia playgroundów, tacy jak instruktorzy, którzy znają UUID RESTRICTED lub nieopublikowanego playgrounda, mogą skopiować jego html_content i opublikować go publicznie.
- CVE-2025-12270Średnie
W LearnHouse do wersji 98dfad76aad70711a8113f6c1fdabfccf10509ca stwierdzono podatność w nieznanej funkcji pliku /api/v1/assignments/{assignment_id}/tasks/{task_id}/sub_file obsługującego przesyłanie plików przez studentów. Manipulacja powoduje nieprawidłową kontrolę identyfikatorów zasobów. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony i może być wykorzystany. Produkt korzysta z rolling release, więc brak szczegółów wersji.
- CVE-2025-12269Niskie
W LearnHouse do wersji 98dfad76aad70711a8113f6c1fdabfccf10509ca wykryto podatność cross-site scripting (XSS) w pliku /dash/org/settings/previews, w komponencie Account Setting Page. Manipulacja danymi prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-12268Średnie
W LearnHouse do wersji 98dfad76aad70711a8113f6c1fdabfccf10509ca wykryto podatność w nieznanej funkcji pliku /api/v1/courses/ obsługującego miniatury kursów. Manipulacja argumentem thumbnail prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony i może być wykorzystany. Produkt korzysta z wydań rolling release, więc brak szczegółów wersji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in LearnHouse up to 98dfad76aad70711a8113f6c1fdabfccf10509ca. Affected by this issue is some unknown functionality of the component Image Handler. The manipulation results in information disclosure. The attack can be executed remotely. The exploit is now public and may be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS