CVE-2025-62158
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Frappe Learning to system edukacyjny. W wersjach przed 2.38.0 system przechowywał załączniki przesłane przez uczniów w zadaniach jako pliki publiczne, co potencjalnie narażało te pliki na publiczny dostęp. Każdy znający URL pliku mógł uzyskać do niego dostęp bez uwierzytelnienia.
Ocena ryzyka
Poufne pliki przesłane przez uczniów mogły wyciec do osób nieuprawnionych.
Rekomendacja
Zaktualizuj Frappe Learning do wersji 2.38.0 lub nowszej, która domyślnie przechowuje załączniki zadań jako pliki prywatne.
Inne podatności w Frappe Learning
Zobacz wszystkie- CVE-2025-62779Średnie
Frappe Learning w wersji 2.39.1 i wcześniejszych umożliwia użytkownikom dodawanie HTML przez pola wejściowe w formularzu pracy (Job Form). Może to prowadzić do wstrzykiwania złośliwego kodu HTML lub JavaScript.
- CVE-2025-62778Średnie
Frappe Learning, system zarządzania nauką, w wersji 2.39.1 i wcześniejszych ma problem bezpieczeństwa, gdzie uczniowie mogą uzyskać dostęp do formularza quizu, jeśli znają adres URL.
Oryginalny opis (angielski, źródło NVD)
Frappe Learning is a learning system that helps users structure their content. In versions prior to 2.38.0, the system did stored the attachments uploaded by the students in their assignments as public files. This issue potentially exposed student-uploaded files to the public. Anyone with the file URL could access these files without authentication. The issue has been fixed in version 2.38.0 by ensuring all student-uploaded assignment attachments are stored as private files by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS