CVE-2025-54790
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wykorzystaniu zapytań SQL w backendzie bez bezpośredniego wyniku, co może umożliwić nieautoryzowany dostęp do danych. Problem został naprawiony w wersji 0.16.10.
Ocena ryzyka
Ryzyko obejmuje potencjalny nieautoryzowany dostęp do danych przechowywanych w przestrzeniach i profilach użytkowników, co może naruszyć poufność informacji.
Rekomendacja
Zaleca się aktualizację modułu Files do wersji 0.16.10 lub nowszej, która zawiera poprawkę.
Inne podatności w Files
Zobacz wszystkie- CVE-2025-59026Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-30186Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-65963Średnie
Moduł Files do zarządzania plikami w przestrzeniach i profilach użytkowników przed wersjami 0.16.11 i 0.17.2 ma niewystarczające kontrole autoryzacji. Umożliwia to użytkownikom niebędącym członkami tworzenie nowych folderów oraz przesyłanie i pobieranie plików jako archiwum ZIP w przestrzeniach publicznych; przestrzenie prywatne nie są dotknięte.
- CVE-2025-54789Średnie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wstrzykiwaniu dowolnego JavaScriptu w funkcji przenoszenia plików, co może prowadzić do wykonania kodu JS w kontekście sesji użytkownika. Problem naprawiono w wersji 0.16.10.
Oryginalny opis (angielski, źródło NVD)
Files is a module for managing files inside spaces and user profiles. In versions 0.16.9 and below, Files does not have logic to prevent the exploitation of backend SQL queries without direct output, potentially allowing unauthorized data access. This is fixed in version 0.16.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS