CVE-2025-59026
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
Ocena ryzyka
Użytkownik może nieświadomie uruchomić złośliwy skrypt, co grozi wyciekiem danych i wykonaniem akcji w jego imieniu.
Rekomendacja
Wdróż dostarczone aktualizacje i poprawki; brak publicznie znanych exploitów, ale aktualizacja jest konieczna.
Inne podatności w Files
Zobacz wszystkie- CVE-2025-30186Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-65963Średnie
Moduł Files do zarządzania plikami w przestrzeniach i profilach użytkowników przed wersjami 0.16.11 i 0.17.2 ma niewystarczające kontrole autoryzacji. Umożliwia to użytkownikom niebędącym członkami tworzenie nowych folderów oraz przesyłanie i pobieranie plików jako archiwum ZIP w przestrzeniach publicznych; przestrzenie prywatne nie są dotknięte.
- CVE-2025-54790Średnie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wykorzystaniu zapytań SQL w backendzie bez bezpośredniego wyniku, co może umożliwić nieautoryzowany dostęp do danych. Problem został naprawiony w wersji 0.16.10.
- CVE-2025-54789Średnie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wstrzykiwaniu dowolnego JavaScriptu w funkcji przenoszenia plików, co może prowadzić do wykonania kodu JS w kontekście sesji użytkownika. Problem naprawiono w wersji 0.16.10.
Oryginalny opis (angielski, źródło NVD)
Malicious content uploaded as file can be used to execute script code when following attacker-controlled links. Unintended actions can be executed in the context of the users account, including exfiltration of sensitive information. Please deploy the provided updates and patch releases. No publicly available exploits are known
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS