CVE-2025-61163
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Cohere North AI v1.1.5 odkryto nadmiernie permisywną politykę cross-domain z niezaufanymi domenami. Dzieje się tak, ponieważ serwer nie weryfikuje nagłówka Origin w przychodzących żądaniach.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków cross-site request forgery (CSRF) lub wycieku danych, ponieważ przeglądarka może wysyłać żądania z niezaufanych domen.
Rekomendacja
Zaktualizuj North AI do najnowszej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo skonfiguruj serwer tak, aby weryfikował nagłówek Origin i ograniczał dozwolone domeny.
Inne podatności w Cohere North AI
Zobacz wszystkie- CVE-2025-61165Krytyczne
Podatność na dowolne przesyłanie plików w komponencie /v1/my_drive/batch_upload w cohere North AI v1.1.5 pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2025-61164Wysokie
W Cohere North AI v1.1.5 odkryto wyciek informacji przez punkt końcowy WebSocket.
- CVE-2025-61162Wysokie
Nieprawidłowa kontrola dostępu w Cohere North AI v1.1.5 pozwala atakującym na dowolne nadpisywanie informacji o użytkowniku poprzez spreparowane żądanie do punktu końcowego /api/internal/v1/users/{{USER_ID}}.
Oryginalny opis (angielski, źródło NVD)
Cohere North AI v1.1.5 was discovered to contain excessively permissive cross-domain policy with untrusted domains. This occurs via the server failing to validate the Origin header of incoming connection requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS