CVE-2025-61162
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Nieprawidłowa kontrola dostępu w Cohere North AI v1.1.5 pozwala atakującym na dowolne nadpisywanie informacji o użytkowniku poprzez spreparowane żądanie do punktu końcowego /api/internal/v1/users/{{USER_ID}}.
Ocena ryzyka
Atakujący może zmienić dane innych użytkowników, co może prowadzić do naruszenia integralności danych, eskalacji uprawnień lub przejęcia kont.
Rekomendacja
Zaktualizuj North AI do najnowszej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo wdróż odpowiednią kontrolę dostępu na poziomie aplikacji.
Inne podatności w Cohere North AI
Zobacz wszystkie- CVE-2025-61165Krytyczne
Podatność na dowolne przesyłanie plików w komponencie /v1/my_drive/batch_upload w cohere North AI v1.1.5 pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2025-61163Krytyczne
W Cohere North AI v1.1.5 odkryto nadmiernie permisywną politykę cross-domain z niezaufanymi domenami. Dzieje się tak, ponieważ serwer nie weryfikuje nagłówka Origin w przychodzących żądaniach.
- CVE-2025-61164Wysokie
W Cohere North AI v1.1.5 odkryto wyciek informacji przez punkt końcowy WebSocket.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in Cohere North AI v1.1.5 allows attackers to arbitrarily overwrite user info via a crafted request to the /api/internal/v1/users/{{USER_ID}} endpoint