CVE-2025-54877
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Tuleap atakujący może uzyskać dostęp do zawartości specjalnych, zawsze obecnych pól dostępnych artefaktów, nawet jeśli uprawnienia powiązane z tymi polami na to nie pozwalają. Podatność została naprawiona w Tuleap Community Edition 16.10.99.1754050155 oraz Tuleap Enterprise Edition 16.9-8 i 16.10-5.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych, do których nie powinien mieć uprawnień, co stanowi naruszenie kontroli dostępu.
Rekomendacja
Zaktualizuj Tuleap do wersji zawierających poprawkę (Community Edition 16.10.99.1754050155, Enterprise Edition 16.9-8 i 16.10-5).
Inne podatności w Tuleap
Zobacz wszystkie- CVE-2026-105407Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Tuleap Enterprise Edition od wersji 17.0 do 17.5 umożliwia atakującemu wykonanie dowolnych poleceń na serwerze.
- CVE-2025-65962Średnie
Podatność w Tuleap (Community Edition przed 17.0.99.1763803709 oraz Enterprise Edition przed 17.0-4 i 16.13-9) polegająca na braku ochrony CSRF w zależnościach pól trackera, umożliwiająca atakującym modyfikację pól trackera.
- CVE-2025-64760Średnie
Tuleap to darmowy zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition przed 17.0.99.1763126988 oraz Tuleap Enterprise Edition przed 17.0-3 i 16.13-8 mają brakujące zabezpieczenia CSRF, co pozwala atakującym na tworzenie lub usuwanie wyzwalaczy trackerów. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1763126988 oraz Tuleap Enterprise Edition 17.0-3 i 16.13-8.
- CVE-2025-64499Średnie
Tuleap Community Edition przed wersją 17.0.99.1762456922 oraz Tuleap Enterprise Edition przed wersjami 17.0-2, 16.13-7 i 16.12-10 są podatne na ataki CSRF poprzez API zarządzania planowaniem. Atakujący mogą tworzyć, edytować lub usuwać plany.
- CVE-2025-64498Średnie
Tuleap to zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition poniżej 17.0.99.1762444754 oraz Tuleap Enterprise Edition przed 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym nakłonić ofiary do zmiany ogólnych ustawień trackera. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1762444754 oraz Tuleap Enterprise Edition 17.0-2, 16.13-7 i 16.12-10.
- CVE-2025-64497Średnie
Tuleap Community Edition w wersjach poniżej 17.0.99.1762431347 oraz Tuleap Enterprise Edition w wersjach poniżej 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym na dostęp do informacji o systemie wydań plików w projektach, do których nie mają dostępu. Problem został naprawiony w wersji 17.0.99.1762431347 Community Edition oraz w wersjach 17.0-2, 16.13-7 i 16.12-10 Enterprise Edition.
- CVE-2025-64482Średnie
Tuleap Community Edition przed wersją 16.13.99.1762267347 oraz Tuleap Enterprise Edition przed wersjami 17.01-, 16.13-6 i 16.12-9 nie mają zabezpieczeń przed cross-site request forgery w systemie wydawania plików. Atakujący może wykorzystać tę podatność, aby nakłonić ofiary do zmiany reguł commitów lub niezmiennych tagów repozytorium SVN.
- CVE-2025-64117Średnie
Tuleap Community Edition przed wersją 16.13.99.1761813675 oraz Tuleap Enterprise Edition przed wersjami 16.13-5 i 16.12-8 nie mają zabezpieczeń przed cross-site request forgery w zarządzaniu regułami commitów SVN i niezmiennymi tagami. Atakujący może wykorzystać tę podatność, aby nakłonić ofiary do zmiany reguł commitów lub niezmiennych tagów repozytorium SVN.
- CVE-2023-35938Średnie
Tuleap ma problem z zarządzaniem uprawnieniami użytkowników po zmianie widoczności projektu. Użytkownicy z ograniczonym dostępem, którzy byli administratorami projektu przed zmianą, nadal mają dostęp do projektu i mogą wykonywać działania administracyjne.
Oryginalny opis (angielski, źródło NVD)
Tuleap is an Open Source Suite created to facilitate management of software development and collaboration. In Tuleap Community Edition versions before 16.10.99.1754050155 and Tuleap Enterprise Edition versions before 16.9-8 and before 16.10-5, an attacker can access to the content of the special and always there fields of accessible artifacts even if the permissions associated with the underlying fields do not allow it. This issue has been fixed in Tuleap Community Edition version 16.10.99.1754050155 and Tuleap Enterprise Edition versions 16.9-8 and 16.10-5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS