CVE-2025-56537
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na trwałe skrypty krzyżowe (Stored XSS) w opennebula v6.10.0.1, naprawiona w wersji v7.0, pozwala atakującym na wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru szablonu sieci wirtualnej.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod do szablonu sieci wirtualnej, który zostanie wykonany w przeglądarce użytkownika przeglądającego ten szablon, co może prowadzić do przejęcia sesji lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj opennebula do wersji 7.0 lub nowszej. Dodatkowo ogranicz uprawnienia do edycji szablonów sieci wirtualnych tylko do zaufanych administratorów.
Inne podatności w opennebula
Zobacz wszystkie- CVE-2026-84165Wysokie
Podatność dotycząca nieprawidłowej kontroli dostępu w OpenNebula (wszystkie wersje przed 7.4) pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami na wykonywanie poleceń na maszynach wirtualnych należących do innych użytkowników za pomocą funkcji one.vm.exec, bez odpowiedniej weryfikacji uprawnień. Do wykorzystania wystarczy znać identyfikator maszyny wirtualnej i mieć włączony qemu-agent na tej maszynie. Eksploitacja może pozwolić na wykonanie poleceń i naruszyć poufność, integralność i dostępność dotkniętych maszyn wirtualnych.
- CVE-2025-56536Średnie
Podatność na trwałe skrypty krzyżowe (Stored XSS) w opennebula v6.10.0.1 pozwala atakującym na wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru informacji o użytkowniku.
- CVE-2025-56535Średnie
Podatność cross-site scripting (XSS) w opennebula w wersji 6.10.0.1 pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru atrybutu zone.
- CVE-2025-56534Średnie
Podatność cross-site scripting (XSS) w niestandardowym sterowniku uwierzytelniania opennebula w wersji 6.10.0.1 pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in opennebula v6.10.0.1 and fixed in v.7.0 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the virtual network template parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS