CVE-2025-64404
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 dokumenty z obrazami tła lub obrazami punktowanymi linkującymi do plików zewnętrznych ładowały ich zawartość bez monitowania użytkownika.
Ocena ryzyka
Atakujący może nakłonić użytkownika do otwarcia złośliwego dokumentu, co może prowadzić do nieautoryzowanego dostępu do danych lub dalszych ataków.
Rekomendacja
Należy zaktualizować Apache OpenOffice do wersji 4.1.16, która naprawia tę podatność.
Inne podatności w Apache OpenOffice
Zobacz wszystkie- CVE-2014-3524Wysokie
Apache OpenOffice przed wersją 4.1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń oraz potencjalnie wywołanie innych nieokreślonych skutków za pomocą spreparowanego arkusza kalkulacyjnego Calc.
- CVE-2026-59265Wysokie
Podatność umożliwiająca wykonanie kodu w integracji Java w Apache OpenOffice w wersji 4.1.16 i wcześniejszych pozwala spreparowanemu niezaufanemu dokumentowi na wywołanie wykonania dowolnego (nawet zdalnego) kodu po otwarciu przez użytkownika. Poprawka ma zostać wydana w wersji 4.1.17, która jest w fazie release candidate.
- CVE-2025-64407Średnie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika. Linki te mogą służyć do przesyłania informacji systemowych, takich jak zmienne środowiskowe lub ustawienia konfiguracyjne.
- CVE-2025-64406Średnie
W Apache OpenOffice do wersji 4.1.15 występuje podatność zapisu poza granicami bufora. Atakujący może spreparować dokument, który spowoduje awarię programu lub uszkodzenie innych obszarów pamięci.
- CVE-2025-64405Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 arkusze Calc zawierające linki DDE do plików zewnętrznych ładowały ich zawartość bez monitowania użytkownika.
- CVE-2025-64403Wysokie
Brak autoryzacji w Apache OpenOffice Calc pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych źródeł danych bez pytania użytkownika o zgodę. Problem dotyczy wersji do 4.1.15.
- CVE-2025-64402Średnie
Apache OpenOffice zawiera podatność braku autoryzacji, która pozwala atakującemu na stworzenie dokumentu powodującego ładowanie zewnętrznych linków bez pytania użytkownika. Dokumenty z obiektami OLE powiązanymi z zewnętrznymi plikami ładowały ich zawartość bez zgody użytkownika.
- CVE-2025-64401Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 dokumenty używające 'floating frames' powiązanych z plikami zewnętrznymi ładowały ich zawartość bez monitowania użytkownika. Problem naprawiono w wersji 4.1.16.
Oryginalny opis (angielski, źródło NVD)
Apache OpenOffice documents can contain links to other files. A missing Authorization vulnerability in Apache OpenOffice allowed an attacker to craft a document that would cause external links to be loaded without prompt. In the affected versions of Apache OpenOffice, documents that used background fill images, or bullet images, linked to external files would load the contents of those files without prompting the user for permission to do so. This issue affects Apache OpenOffice: through 4.1.15. Users are recommended to upgrade to version 4.1.16, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS