CVE-2025-62186
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Anki (Ankitects) przed wersją 25.02.5 pozwala przygotowanej współdzielonej talii w systemie Windows na wykonanie dowolnych poleceń podczas odtwarzania dźwięku z powodu nieprawidłowej obsługi schematów URL.
Ocena ryzyka
Otwarcie złośliwej talii może doprowadzić do wykonania dowolnych poleceń w systemie Windows, co grozi pełną kompromitacją komputera użytkownika. Ryzyko jest szczególnie wysokie przy pobieraniu talii z niezaufanych źródeł.
Rekomendacja
Zaktualizuj Anki do wersji 25.02.5 lub nowszej i unikaj otwierania współdzielonych talii z niezaufanych źródeł.
Inne podatności w Anki
Zobacz wszystkie- CVE-2026-64677Średnie
W Anki przed wersją 25.09.3 endpointy lokalnego serwera HTTP nie ograniczają odpowiednio żądanych ścieżek mediów i wbudowanych danych, co pozwala skryptom z udostępnianych talii lub złośliwym stronom internetowym (z obejściem sprawdzania pochodzenia) na odczyt lokalnych plików poprzez traversal katalogów.
- CVE-2026-59153Niskie
Anki przed wersją 25.09.3 uruchamia lokalny serwer HTTP, który nie blokuje żądań z innych źródeł. Złośliwa strona internetowa może wysyłać żądania do tego serwera, co może prowadzić do niepożądanych skutków ubocznych.
- CVE-2026-58266Średnie
Podatność w Anki przed wersją 25.09.4 umożliwia złośliwym pakietom kart z osadzonym iframe dostęp do wewnętrznego API localhost, co pozwala na odczyt dowolnych plików dostępnych dla procesu Anki i ich eksfiltrację przez sieć.
- CVE-2025-62187Niskie
W Anki przed wersją 25.02.6, specjalnie spreparowane odwołania do plików dźwiękowych mogą spowodować zapis plików w dowolnych lokalizacjach na Windows i Linux (ścieżki plików multimedialnych nie muszą być względne do folderu multimediów).
- CVE-2025-62185Średnie
W Anki (Ankitects) przed wersją 25.02.5 przygotowana współdzielona talia może umieścić plik wykonywalny pobierający z YouTube w folderze mediów, który jest uruchamiany dla linku YouTube w talii. Nazwa pliku może to być youtube-dl.exe, yt-dlp.exe lub yt-dlp_x86.exe.
Oryginalny opis (angielski, źródło NVD)
Ankitects Anki before 25.02.5 allows a crafted shared deck on Windows to execute arbitrary commands when playing audio because of URL scheme mishandling.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS