CVE-2025-51662
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W funkcji udostępniania tekstu w FileCodeBox w wersji 2.2 i wcześniejszych występuje podatność stored cross-site scripting (XSS). Niewystarczająca walidacja danych wejściowych pozwala atakującemu wstrzyknąć dowolny kod JavaScript do udostępnianych "codeboxów". Ładunek XSS jest automatycznie wykonywany w przeglądarkach użytkowników, którzy uzyskają dostęp do zainfekowanego codeboxa.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, danych lub wykonania działań w imieniu użytkownika. Ryzyko dotyczy wszystkich użytkowników odwiedzających zainfekowane udostępnienia.
Rekomendacja
Zaktualizuj FileCodeBox do wersji nowszej niż 2.2, jeśli jest dostępna, lub wdroż odpowiednią walidację i sanityzację danych wejściowych. Rozważ wyłączenie funkcji udostępniania tekstu do czasu wydania poprawki.
Inne podatności w FileCodeBox
Zobacz wszystkie- CVE-2026-82543Wysokie
Wykryto podatność w vastsa FileCodeBox do wersji 2.3. Podatność dotyczy funkcji update_file_usage w pliku apps/base/views.py komponentu Pickup Limit Handler. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Aktualizacja do wersji 2.5.0 rozwiązuje problem.
- CVE-2026-64619Wysokie
FileCodeBox przed wersją 2.4 zawiera podatność na ominięcie ograniczeń szybkości w klasie IPRateLimit. Nieuwierzytelniony atakujący może dostarczyć kontrolowane nagłówki X-Real-IP i X-Forwarded-For bez weryfikacji zaufanego odwrotnego proxy, co pozwala na enumerację kodów udostępniania i pobieranie plików innych użytkowników.
- CVE-2025-51663Wysokie
W implementacji IPRateLimit w FileCodeBox do wersji 2.2 występuje podatność pozwalająca zdalnym atakującym obejść ograniczenia szybkości oparte na IP oraz limity nieudanych prób poprzez fałszowanie nagłówków HTTP X-Real-IP i X-Forwarded-For. Umożliwia to ataki DoS lub brute force kodów udostępniania.
- CVE-2025-51661Wysokie
W FileCodeBox v2.2 i wcześniejszych występuje podatność path traversal umożliwiająca dowolny zapis plików, gdy aplikacja korzysta z lokalnego magazynu plików. Metoda SystemFileStorage.save_file w core/storage.py używa nazw plików z danych wejściowych użytkownika bez walidacji do budowy save_path, co pozwala na zapis poza docelowym katalogiem przez nieuwierzytelnione żądania POST do endpointu /share/file/.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability is found in the text sharing feature of FileCodeBox version 2.2 and earlier. Insufficient input validation allows attackers to inject arbitrary JavaScript code into shared text "codeboxes". The xss payload is automatically executed in the browsers of any users who try to access the infected codebox by clicking link or entering share code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS