CVE-2025-62185
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W Anki (Ankitects) przed wersją 25.02.5 przygotowana współdzielona talia może umieścić plik wykonywalny pobierający z YouTube w folderze mediów, który jest uruchamiany dla linku YouTube w talii. Nazwa pliku może to być youtube-dl.exe, yt-dlp.exe lub yt-dlp_x86.exe.
Ocena ryzyka
Otwarcie złośliwej talii może doprowadzić do uruchomienia dowolnego kodu na komputerze użytkownika, co grozi pełną kompromitacją stacji roboczej. Ryzyko jest szczególnie wysokie, gdy użytkownicy pobierają talie z niezaufanych źródeł.
Rekomendacja
Zaktualizuj Anki do wersji 25.02.5 lub nowszej i unikaj otwierania współdzielonych talii z niezaufanych źródeł.
Inne podatności w Anki
Zobacz wszystkie- CVE-2026-64677Średnie
W Anki przed wersją 25.09.3 endpointy lokalnego serwera HTTP nie ograniczają odpowiednio żądanych ścieżek mediów i wbudowanych danych, co pozwala skryptom z udostępnianych talii lub złośliwym stronom internetowym (z obejściem sprawdzania pochodzenia) na odczyt lokalnych plików poprzez traversal katalogów.
- CVE-2026-59153Niskie
Anki przed wersją 25.09.3 uruchamia lokalny serwer HTTP, który nie blokuje żądań z innych źródeł. Złośliwa strona internetowa może wysyłać żądania do tego serwera, co może prowadzić do niepożądanych skutków ubocznych.
- CVE-2026-58266Średnie
Podatność w Anki przed wersją 25.09.4 umożliwia złośliwym pakietom kart z osadzonym iframe dostęp do wewnętrznego API localhost, co pozwala na odczyt dowolnych plików dostępnych dla procesu Anki i ich eksfiltrację przez sieć.
- CVE-2025-62187Niskie
W Anki przed wersją 25.02.6, specjalnie spreparowane odwołania do plików dźwiękowych mogą spowodować zapis plików w dowolnych lokalizacjach na Windows i Linux (ścieżki plików multimedialnych nie muszą być względne do folderu multimediów).
- CVE-2025-62186Średnie
Anki (Ankitects) przed wersją 25.02.5 pozwala przygotowanej współdzielonej talii w systemie Windows na wykonanie dowolnych poleceń podczas odtwarzania dźwięku z powodu nieprawidłowej obsługi schematów URL.
Oryginalny opis (angielski, źródło NVD)
In Ankitects Anki before 25.02.5, a crafted shared deck can place a YouTube downloader executable in the media folder, and this is executed for a YouTube link in the deck. The executable name could be youtube-dl.exe or yt-dlp.exe or yt-dlp_x86.exe.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS