CVE-2025-61906
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Opencast przed wersjami 17.8 i 18.2 może w niektórych sytuacjach opublikować wideo za pomocą edytora bez powiadomienia użytkownika. Może to prowadzić do przypadkowej publikacji mediów nieprzeznaczonych do publikacji i potencjalnego ujawnienia mediów wewnętrznych. Ryzyko rzeczywistego wpływu jest bardzo niskie i wymaga użytkownika z prawem zapisu do zdarzenia, korzystającego z edytora i klikającego najpierw 'Save & Publish', a następnie 'Save'.
Ocena ryzyka
Użytkownik z prawem zapisu może przypadkowo opublikować wewnętrzne media, co może prowadzić do niezamierzonego ujawnienia informacji. Prawdopodobieństwo wystąpienia jest bardzo niskie ze względu na wymagane działania użytkownika.
Rekomendacja
Zaktualizuj Opencast do wersji 17.8 lub 18.2 (lub nowszej). Poinformuj użytkowników edytora o ryzyku i zalecaj ostrożność przy zapisie i publikacji.
Inne podatności w Opencast
Zobacz wszystkie- CVE-2026-77614Wysokie
Opencast to otwartoźródłowa platforma do zarządzania edukacyjnymi treściami audio i wideo. W wersjach przed 19.7 i 20.2 domyślna konfiguracja bezpieczeństwa w etc/security/mh_default_org.xml akceptuje identyfikator JSESSIONID wybrany przez klienta z parametru ścieżki URL ;jsessionid= i nie zastępuje go po zalogowaniu ofiary. Nieuwierzytelniony atakujący może wysłać spreparowany link ofierze bez aktywnego ciasteczka sesji, poczekać na uwierzytelnienie i ponownie użyć znanego identyfikatora jako sesji ofiary, co może ujawnić dane i działania ofiary oraz doprowadzić do pełnego przejęcia konta administratora.
- CVE-2025-61788Średnie
W platformie Opencast przed wersjami 17.8 i 18.2 odtwarzacz paella renderuje metadane (tytuł, opis itp.) bez filtrowania. Umożliwia to atakującemu z prawem zapisu wstrzyknięcie złośliwego HTML i JavaScript, który wykonuje się w przeglądarkach użytkowników przeglądających media.
- CVE-2025-55202Średnie
Opencast w wersji 18.0 oraz przed 17.7 ma niewystarczające zabezpieczenia przed atakami path traversal w module konfiguracji UI. Ścieżka jest sprawdzana bez uwzględnienia separatora plików, co może pozwolić na dostęp do plików w folderze o podobnej nazwie. Problem naprawiono w wersjach 17.7 i 18.1.
Oryginalny opis (angielski, źródło NVD)
Opencast is a free, open-source platform to support the management of educational audio and video content. Prior to Opencast 17.8 and 18.2, in some situations, Opencast's editor may publish a video without notifying the user. This may lead to users accidentally publishing media not meant for publishing, and thus possibly exposing internal media. This risk of this actually impacting someone is very low, though. This can only be triggered by users with write access to an event. They also have to use the editor, which is usually an action taken if they want to publish media and not something users would use on internal media they do not want to publish. Finally, they have to first click on "Save & Publish" before then selecting the "Save" option. Nevertheless, while very unlikely, this can happen. This issue is fixed in Opencast 17.8 and 18.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS