CVE-2025-61163
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W Cohere North AI v1.1.5 odkryto nadmiernie permisywną politykę cross-domain z niezaufanymi domenami. Dzieje się tak, ponieważ serwer nie weryfikuje nagłówka Origin w przychodzących żądaniach.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków cross-site request forgery (CSRF) lub wycieku danych, ponieważ przeglądarka może wysyłać żądania z niezaufanych domen.
Rekomendacja
Zaktualizuj North AI do najnowszej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo skonfiguruj serwer tak, aby weryfikował nagłówek Origin i ograniczał dozwolone domeny.
Oryginalny opis (angielski, źródło NVD)
Cohere North AI v1.1.5 was discovered to contain excessively permissive cross-domain policy with untrusted domains. This occurs via the server failing to validate the Origin header of incoming connection requests.