CVE-2025-62192
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na SQL Injection istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli zostanie wykorzystana, uwierzytelniony użytkownik może uzyskać lub zmodyfikować informacje przechowywane w bazie danych.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych w bazie, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację GroupSession do wersji zawierającej poprawkę (5.3.0 dla Free, 5.3.3 dla byCloud, 5.3.2 dla ZION) lub nowszej.
Inne podatności w GroupSession
Zobacz wszystkie- CVE-2025-66284Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
- CVE-2025-65120Średnie
Podatność na odbity cross-site scripting (XSS) istnieje w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-64781Średnie
GroupSession Free edition, byCloud i ZION przed wersją 5.7.1 mają ustawienie "Ograniczenie wyświetlania stron zewnętrznych" na "Nie ograniczaj" w konfiguracji początkowej. Dzięki tej konfiguracji użytkownik może zostać przekierowany na dowolną stronę internetową po otwarciu specjalnie spreparowanego URL-a.
- CVE-2025-61987Średnie
GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2 nie walidują pochodzenia (origin) w WebSockets. Jeśli użytkownik odwiedzi spreparowaną stronę, informacje z czatu wysyłane do użytkownika mogą zostać ujawnione.
- CVE-2025-61950Średnie
W GroupSession, okólnik może być utworzony z polem memo nieedytowalnym, ale kontrola autoryzacji jest nieprawidłowo zaimplementowana. Przy użyciu spreparowanego żądania, zalogowany użytkownik może zmienić pole memo. Dotknięte produkty i wersje to GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2.
- CVE-2025-58576Średnie
Podatność na Cross-site request forgery istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli użytkownik odwiedzi złośliwą stronę będąc zalogowanym, mogą zostać wykonane nieautoryzowane operacje.
- CVE-2025-57883Średnie
Podatność na odzwierciedlony atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-54407Średnie
Podatność na trwały atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-53523Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
Oryginalny opis (angielski, źródło NVD)
SQL Injection vulnerability exists in GroupSession Free edition prior to ver5.3.0, GroupSession byCloud prior to ver5.3.3, and GroupSession ZION prior to ver5.3.2. If exploited, information stored in the database may be obtained or altered by an authenticated user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS