CVE-2025-64402
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Apache OpenOffice zawiera podatność braku autoryzacji, która pozwala atakującemu na stworzenie dokumentu powodującego ładowanie zewnętrznych linków bez pytania użytkownika. Dokumenty z obiektami OLE powiązanymi z zewnętrznymi plikami ładowały ich zawartość bez zgody użytkownika.
Ocena ryzyka
Otwarcie złośliwego dokumentu może spowodować nieautoryzowane pobranie treści z zewnętrznych źródeł, co może prowadzić do wycieku danych lub infekcji.
Rekomendacja
Zaktualizuj Apache OpenOffice do wersji 4.1.16 lub nowszej.
Inne podatności w Apache OpenOffice
Zobacz wszystkie- CVE-2014-3524Wysokie
Apache OpenOffice przed wersją 4.1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń oraz potencjalnie wywołanie innych nieokreślonych skutków za pomocą spreparowanego arkusza kalkulacyjnego Calc.
- CVE-2026-59265Wysokie
Podatność umożliwiająca wykonanie kodu w integracji Java w Apache OpenOffice w wersji 4.1.16 i wcześniejszych pozwala spreparowanemu niezaufanemu dokumentowi na wywołanie wykonania dowolnego (nawet zdalnego) kodu po otwarciu przez użytkownika. Poprawka ma zostać wydana w wersji 4.1.17, która jest w fazie release candidate.
- CVE-2025-64407Średnie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika. Linki te mogą służyć do przesyłania informacji systemowych, takich jak zmienne środowiskowe lub ustawienia konfiguracyjne.
- CVE-2025-64406Średnie
W Apache OpenOffice do wersji 4.1.15 występuje podatność zapisu poza granicami bufora. Atakujący może spreparować dokument, który spowoduje awarię programu lub uszkodzenie innych obszarów pamięci.
- CVE-2025-64405Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 arkusze Calc zawierające linki DDE do plików zewnętrznych ładowały ich zawartość bez monitowania użytkownika.
- CVE-2025-64404Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 dokumenty z obrazami tła lub obrazami punktowanymi linkującymi do plików zewnętrznych ładowały ich zawartość bez monitowania użytkownika.
- CVE-2025-64403Wysokie
Brak autoryzacji w Apache OpenOffice Calc pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych źródeł danych bez pytania użytkownika o zgodę. Problem dotyczy wersji do 4.1.15.
- CVE-2025-64401Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 dokumenty używające 'floating frames' powiązanych z plikami zewnętrznymi ładowały ich zawartość bez monitowania użytkownika. Problem naprawiono w wersji 4.1.16.
Oryginalny opis (angielski, źródło NVD)
Apache OpenOffice documents can contain links. A missing Authorization vulnerability in Apache OpenOffice allowed an attacker to craft a document that would cause external links to be loaded without prompt. In the affected versions of Apache OpenOffice, documents that used "OLE objects" linked to external files would load the contents of those files without prompting the user for permission to do so. This issue affects Apache OpenOffice: through 4.1.15. Users are recommended to upgrade to version 4.1.16, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS