CVE-2025-62781
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Przed wersją 4.8.0 użytkownicy z lokalnym kontem mogą zmienić swoje hasło podczas logowania. Po zmianie hasła wszystkie inne aktywne sesje są kończone, z wyjątkiem bieżącej. Jednak token bieżącej sesji pozostaje ważny i nie jest odświeżany. Jeśli atakujący wcześniej uzyskał ten token sesji przez inną podatność, zmiana hasła nie unieważni jego dostępu. W rezultacie atakujący może nadal działać jako użytkownik nawet po zmianie hasła. Podatność została naprawiona w wersji 4.8.0.
Ocena ryzyka
Ryzyko polega na tym, że atakujący, który zdobył token sesji, może zachować dostęp do konta użytkownika nawet po zmianie hasła, co może prowadzić do nieautoryzowanego dostępu do danych i działań w systemie.
Rekomendacja
Zaleca się natychmiastową aktualizację PILOS do wersji 4.8.0 lub nowszej, aby wyeliminować podatność. Dodatkowo warto rozważyć wymuszenie odświeżania tokenów sesji po zmianie hasła.
Inne podatności w PILOS
Zobacz wszystkie- CVE-2026-71555Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Od wersji 2.1.0 do 4.14.1 PILOS nie wysyła nagłówka odpowiedzi Cross-Origin-Opener-Policy, więc strony otwierane przez PILOS za pomocą linku otwierającego nowy kontekst przeglądania (np. target="_blank") zachowują referencję window.opener do oryginalnej karty PILOS. Złośliwa strona docelowa może użyć window.opener do nawigacji lub manipulacji oryginalną kartą PILOS, co jest techniką znaną jako reverse tabnabbing, potencjalnie przekierowując uwierzytelnionego użytkownika na stronę phishingową imitującą PILOS. Problem naprawiono w wersji 4.14.1.
- CVE-2025-62524Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. W wersjach przed 4.8.0 ujawnia wersję PHP poprzez nagłówek X-Powered-By, co umożliwia atakującym fingerprinting serwera i ocenę potencjalnych exploitów.
- CVE-2025-62523Średnie
Błędna konfiguracja CORS w PILOS przed wersją 4.8.0: odzwierciedla nagłówek Origin w Access-Control-Allow-Origin bez walidacji, przy jednoczesnym ustawieniu Access-Control-Allow-Credentials na true. Jednak zabezpieczenia sesji Laravel sprawiają, że typowe wdrożenia nie są podatne na wykorzystanie.
Oryginalny opis (angielski, źródło NVD)
PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. Prior to 4.8.0, users with a local account can change their password while logged in. When doing so, all other active sessions are terminated, except for the currently active one. However, the current session’s token remains valid and is not refreshed. If an attacker has previously obtained this session token through another vulnerability, changing the password will not invalidate their access. As a result, the attacker can continue to act as the user even after the password has been changed. This vulnerability is fixed in 4.8.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS