CVE-2025-58576
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność na Cross-site request forgery istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli użytkownik odwiedzi złośliwą stronę będąc zalogowanym, mogą zostać wykonane nieautoryzowane operacje.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania nieautoryzowanych operacji w kontekście zalogowanego użytkownika, co może prowadzić do naruszenia danych lub zakłócenia działania systemu.
Rekomendacja
Zaleca się zaktualizowanie GroupSession do wersji zawierającej poprawkę (Free 5.3.0, byCloud 5.3.3, ZION 5.3.2 lub nowsze).
Inne podatności w GroupSession
Zobacz wszystkie- CVE-2025-66284Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
- CVE-2025-65120Średnie
Podatność na odbity cross-site scripting (XSS) istnieje w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-64781Średnie
GroupSession Free edition, byCloud i ZION przed wersją 5.7.1 mają ustawienie "Ograniczenie wyświetlania stron zewnętrznych" na "Nie ograniczaj" w konfiguracji początkowej. Dzięki tej konfiguracji użytkownik może zostać przekierowany na dowolną stronę internetową po otwarciu specjalnie spreparowanego URL-a.
- CVE-2025-62192Średnie
Podatność na SQL Injection istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli zostanie wykorzystana, uwierzytelniony użytkownik może uzyskać lub zmodyfikować informacje przechowywane w bazie danych.
- CVE-2025-61987Średnie
GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2 nie walidują pochodzenia (origin) w WebSockets. Jeśli użytkownik odwiedzi spreparowaną stronę, informacje z czatu wysyłane do użytkownika mogą zostać ujawnione.
- CVE-2025-61950Średnie
W GroupSession, okólnik może być utworzony z polem memo nieedytowalnym, ale kontrola autoryzacji jest nieprawidłowo zaimplementowana. Przy użyciu spreparowanego żądania, zalogowany użytkownik może zmienić pole memo. Dotknięte produkty i wersje to GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2.
- CVE-2025-57883Średnie
Podatność na odzwierciedlony atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-54407Średnie
Podatność na trwały atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-53523Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery vulnerability exists in GroupSession Free edition prior to ver5.3.0, GroupSession byCloud prior to ver5.3.3, and GroupSession ZION prior to ver5.3.2. If a user accesses a malicious page while logged in, unintended operations may be performed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS