CVE-2025-63693
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Szablon edycji komentarzy w DzzOffice 2.3.x nie stosuje odpowiedniego escapowania danych kontrolowanych przez użytkownika w wielu kontekstach, w tym w HTML i ciągach JavaScript. Umożliwia to atakującemu z niskimi uprawnieniami wykonanie dowolnego kodu JavaScript, gdy ofiara otworzy okno edycji komentarza.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika lub wykonać działania w jego imieniu w przeglądarce. Ryzyko dotyczy wszystkich instalacji DzzOffice 2.3.x z dostępem do funkcji komentarzy.
Rekomendacja
Zaktualizuj DzzOffice do wersji zawierającej poprawkę lub wdroż dodatkowe filtrowanie i escapowanie danych wejściowych w szablonie edycji komentarzy. Rozważ ograniczenie dostępu do funkcji komentarzy do zaufanych użytkowników do czasu wdrożenia poprawki.
Inne podatności w DzzOffice
Zobacz wszystkie- CVE-2025-63695Krytyczne
DzzOffice w wersji 2.3.7 i wcześniejszych jest podatny na dowolne przesyłanie plików w /dzz/system/ueditor/php/controller.php.
- CVE-2025-63694Krytyczne
DzzOffice w wersji 2.3.7 i wcześniejszych jest podatny na wstrzyknięcie SQL w explorer/groupmanage.
- CVE-2022-43340Wysokie
W systemie dzzoffice 2.02.1_SC_UTF8 wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Umożliwia ona atakującym tworzenie kont użytkowników oraz nadawanie uprawnień administratora zwykłym użytkownikom bez ich wiedzy.
Oryginalny opis (angielski, źródło NVD)
The comment editing template (dzz/comment/template/edit_form.htm) in DzzOffice 2.3.x lacks adequate security escaping for user-controllable data in multiple contexts, including HTML and JavaScript strings. This allows low-privilege attackers to construct comment content or request parameters and execute arbitrary JavaScript code when the victim opens the editing pop-up.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS