CVE-2025-48076
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Galette w wersjach 1.1.5.2 i starszych pozwala użytkownikowi edytować nazwę grupy i wstawić ładunek XSS. Podatność została naprawiona w wersji 1.2.0.
Ocena ryzyka
Złośliwy użytkownik może wykonać skrypt w przeglądarce innych użytkowników, np. administratorów, co może prowadzić do przejęcia sesji. Dotyczy to organizacji non-profit korzystających z Galette do zarządzania członkami.
Rekomendacja
Zaktualizuj Galette do wersji 1.2.0 lub nowszej. Ogranicz uprawnienia do edycji nazw grup do zaufanych osób.
Inne podatności w Galette
Zobacz wszystkie- CVE-2025-58053Krytyczne
Galette to aplikacja webowa do zarządzania członkostwem dla organizacji non-profit. Przed wersją 1.2.0, podczas aktualizacji istniejącego konta za pomocą spreparowanego żądania POST, można uzyskać wyższe uprawnienia. Wersja 1.2.0 naprawia problem.
- CVE-2025-53922Średnie
Galette to aplikacja webowa do zarządzania członkostwem dla organizacji non-profit. Od wersji 1.1.4 do 1.2.0, użytkownik zalogowany jako menedżer grupy może ominąć ograniczenia dotyczące składek i transakcji. Wersja 1.2.0 naprawia problem.
- CVE-2025-48884Średnie
Galette to aplikacja webowa do zarządzania członkostwem organizacji non-profit. W wersjach 1.1.5.2 i wcześniejszych typ dokumentu jest podatny na Cross-Site Scripting (XSS). Problem został naprawiony w wersji 1.2.0.
Oryginalny opis (angielski, źródło NVD)
Galette is a membership management web application for non profit organizations. Versions 1.1.5.2 and below allow a user to edit a group name and insert an XSS payload. This issue is fixed in version 1.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS