CVE-2025-61949
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
LogStare Collector zawiera podatność typu stored cross-site scripting w module UserManagement. Jeśli spreparowane informacje użytkownika zostaną zapisane, dowolny skrypt może zostać wykonany w przeglądarce użytkownika logującego się do strony zarządzania produktem.
Ocena ryzyka
Atakujący może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora lub innego użytkownika zarządzającego, co może prowadzić do kradzieży sesji lub wykonania nieautoryzowanych działań. Wymaga to możliwości wprowadzenia danych użytkownika.
Rekomendacja
Zaktualizuj LogStare Collector do wersji zawierającej poprawkę. Dodatkowo wdróż walidację i kodowanie danych wejściowych w module UserManagement oraz rozważ wdrożenie polityki Content Security Policy.
Inne podatności w LogStare Collector
Zobacz wszystkie- CVE-2025-64695Wysokie
Problem niekontrolowanego elementu ścieżki wyszukiwania występuje w instalatorze LogStare Collector (dla Windows). W przypadku wykorzystania, może zostać wykonany dowolny kod z uprawnieniami użytkownika uruchamiającego instalator.
- CVE-2025-62687Średnie
W LogStare Collector występuje podatność Cross-Site Request Forgery. Jeśli zalogowany użytkownik odwiedzi spreparowaną stronę, mogą zostać wykonane niezamierzone operacje.
- CVE-2025-62189Średnie
LogStare Collector zawiera podatność nieprawidłowej autoryzacji w komponencie UserRegistration. Użytkownik bez uprawnień administratora może utworzyć nowe konto użytkownika, wysyłając spreparowane żądanie HTTP.
- CVE-2025-58097Wysokie
Katalog instalacyjny LogStare Collector ma nieprawidłowe uprawnienia dostępu. Użytkownik niebędący administratorem może manipulować plikami w tym katalogu i wykonywać dowolny kod z uprawnieniami administracyjnymi.
Oryginalny opis (angielski, źródło NVD)
LogStare Collector contains a stored cross-site scripting vulnerability in UserManagement. If crafted user information is stored, an arbitrary script may be executed on the web browser of the user who logs in to the product's management page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS