CVE-2025-32900
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W protokole wymiany informacji KDE Connect przed 2025-04-18 można spreparować pakiet, aby tymczasowo zmienić wyświetlane informacje o urządzeniu, ponieważ używany jest broadcast UDP. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.
Ocena ryzyka
Atakujący w tej samej sieci może podszyć się lub wprowadzić w błąd co do tożsamości urządzenia, co może prowadzić do błędnych decyzji użytkownika lub nieautoryzowanych połączeń.
Rekomendacja
Zaktualizuj KDE Connect, Valent i GSConnect do wersji nowszych niż wymienione minimalne.
Inne podatności w KDE Connect
Zobacz wszystkie- CVE-2025-66270Średnie
Protokół KDE Connect w wersji 8 przed 2025-11-28 nie koreluje identyfikatorów urządzeń między dwoma pakietami. Podatność dotyczy KDE Connect przed 25.12 na pulpicie, KDE Connect przed 0.5.4 na iOS, KDE Connect przed 1.34.4 na Androidzie, GSConnect przed 68 oraz Valent przed 1.0.0.alpha.49.
- CVE-2025-32898Średnie
Protokół kodu weryfikacyjnego KDE Connect przed 2025-04-18 używa tylko 8 znaków, co umożliwia ataki brute-force. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.
Oryginalny opis (angielski, źródło NVD)
In the KDE Connect information-exchange protocol before 2025-04-18, a packet can be crafted to temporarily change the displayed information about a device, because broadcast UDP is used. This affects KDE Connect before 1.33.0 on Android, KDE Connect before 25.04 on desktop, KDE Connect before 0.5 on iOS, Valent before 1.0.0.alpha.47, and GSConnect before 59.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS