CVE-2025-54789
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wstrzykiwaniu dowolnego JavaScriptu w funkcji przenoszenia plików, co może prowadzić do wykonania kodu JS w kontekście sesji użytkownika. Problem naprawiono w wersji 0.16.10.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub innych ataków typu XSS.
Rekomendacja
Zaleca się aktualizację modułu Files do wersji 0.16.10 lub nowszej, która zawiera poprawkę.
Inne podatności w Files
Zobacz wszystkie- CVE-2025-59026Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-30186Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-65963Średnie
Moduł Files do zarządzania plikami w przestrzeniach i profilach użytkowników przed wersjami 0.16.11 i 0.17.2 ma niewystarczające kontrole autoryzacji. Umożliwia to użytkownikom niebędącym członkami tworzenie nowych folderów oraz przesyłanie i pobieranie plików jako archiwum ZIP w przestrzeniach publicznych; przestrzenie prywatne nie są dotknięte.
- CVE-2025-54790Średnie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wykorzystaniu zapytań SQL w backendzie bez bezpośredniego wyniku, co może umożliwić nieautoryzowany dostęp do danych. Problem został naprawiony w wersji 0.16.10.
Oryginalny opis (angielski, źródło NVD)
Files is a module for managing files inside spaces and user profiles. In versions 0.16.9 and below, the File Move functionality does not contain logic that prevents injection of arbitrary JavaScript, which can lead to Browser JS code execution in the context of the user’s session. This is fixed in version 0.16.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS