CVE-2025-55200
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W wersjach BigBlueButton przed 3.0.13 funkcja „Shared Notes” zawiera podatność przechowywanego XSS, gdzie dane wejściowe pochodzą z pola „Username”, a dane wyjściowe są prezentowane na stronie „Shared Notes”, gdy użytkownik ze złośliwą nazwą użytkownika edytuje treść. Umożliwia to użytkownikowi o niskich uprawnieniach wykonanie dowolnego JavaScriptu w kontekście użytkowników o wyższych uprawnieniach (np. administratorów) otwierających stronę Shared Notes. Wersja 3.0.13 naprawia problem.
Ocena ryzyka
Nisko uprzywilejowany użytkownik może wykonać dowolny JavaScript w kontekście administratora lub innego użytkownika o wyższych uprawnieniach, co może prowadzić do kradzieży sesji lub tokenów i przejęcia konta.
Rekomendacja
Zaktualizuj BigBlueButton do wersji 3.0.13 lub nowszej. Do czasu aktualizacji rozważ ograniczenie możliwości edycji Shared Notes przez użytkowników o niskich uprawnieniach.
Inne podatności w BigBlueButton
Zobacz wszystkie- CVE-2026-55491Średnie
BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 BigBlueButton nie escapował pola meetingName w record-and-playback/screenshare/playback/index.html.erb podczas generowania formatu odtwarzania ekranu. Użytkownik z niskimi uprawnieniami mógł zapisać spreparowaną nazwę spotkania zawierającą skrypt, który wykonywał się w przeglądarce innego użytkownika podczas odtwarzania nagrania. Problem naprawiono w wersji 3.0.29.
- CVE-2026-55489Średnie
BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 prezenterzy mogli przesłać presentationId przez /api/graphql, które identyfikowało prezentację należącą do innego spotkania. Plik akka-bbb-apps/src/main/scala/org/bigbluebutton/core/apps/presentationpod/RemovePresentationPubMsgHdlr.scala nie weryfikował identyfikatora spotkania przed usunięciem, co pozwalało prezenterowi znającemu identyfikator usunąć prezentację innego spotkania i zakłócić jego dostępność. Problem naprawiono w wersji 3.0.29.
- CVE-2026-46682Wysokie
BigBlueButton przed wersją 3.0.23 pozwala uwierzytelnionym moderatorom na wstrzyknięcie SQL przez wartości meetingId i userId używane w metodzie refreshBreakoutRoomsVisibleForUsers. Metoda interpoluje te wartości do zapytań o widoczność pokoi breakout, umożliwiając wykonanie dowolnego SQL na bazie danych aplikacji. Problem naprawiono w wersji 3.0.23.
- CVE-2026-46355Wysokie
BigBlueButton przed wersją 3.0.23 udostępnia endpoint /bigbluebutton/api/handleJoinExistingUser, który był routowalną akcją kontrolera zamiast prywatną funkcją pomocniczą. Osoba mogąca podać existingUserID aktywnego uczestnika może ponownie użyć jego sesji i podszyć się pod uczestnika w tym samym spotkaniu. Problem naprawiono w wersji 3.0.23.
- CVE-2026-46404Średnie
BigBlueButton przed wersją 3.0.23 nieprawidłowo ograniczał dostęp do lokalnych adresów sieciowych podczas walidacji URL prezentacji. Logika podążania za przekierowaniami została poprawiona, aby blokować adresy IP z zakresów lokalnych.
- CVE-2026-46353Wysokie
W BigBlueButton przed wersją 3.0.21 stwierdzono podatność polegającą na możliwości ominięcia walidacji sumy kontrolnej (checksum) w żądaniach API. Problem występuje, gdy do żądania dodany zostanie parametr presentationUploadExternalUrl, co pozwala na wysyłanie poprawnych żądań do niektórych endpointów bez wymaganej sumy kontrolnej.
- CVE-2026-46351Wysokie
BigBlueButton przed wersją 3.0.21 generował tokeny sesji konferencyjnych z niewystarczająco bezpieczną losowością, co umożliwiało użytkownikowi sesji przewidywanie tokenów innych użytkowników i podszywanie się pod nich.
- CVE-2026-27737Średnie
BigBlueButton przed wersją 3.0.19 nie sanityzuje danych wejściowych użytkownika w publicznym czacie podczas odtwarzania nagrań. Pozwala to złośliwemu aktorowi na przeprowadzenie ataku XSS, który aktywuje się u każdego odtwarzającego nagranie. Problem został naprawiony w wersji 3.0.19.
- CVE-2025-61602Wysokie
W BigBlueButton w wersjach przed 3.0.13 uwierzytelniony użytkownik może wysłać zniekształcony parametr reactionEmojiId w mutacji GraphQL chatSendMessageReaction, co powoduje awarię funkcji czatu dla wszystkich uczestników spotkania.
- CVE-2025-61601Wysokie
Podatność typu Denial of Service (DoS) w BigBlueButton w wersjach przed 3.0.13. Uwierzytelniony użytkownik może zamrozić lub zawiesić cały serwer, wysyłając złośliwy ładunek z ogromną tablicą w polu answerIds w odpowiedzi typu Choices.
Oryginalny opis (angielski, źródło NVD)
BigBlueButton is an open-source virtual classroom. In versions prior to 3.0.13, the "Shared Notes" feature contains a Stored Cross-Site Scripting (XSS) vulnerability with the input location being the "Username" field and the output location on the "Shared Notes" page, when a user with a malicious username is editing content. This vulnerability allows a low-privileged user to execute arbitrary JavaScript in the context of higher-privileged users (e.g., Admins) who open the Shared Notes page. Version 3.0.13 fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS