CVE-2025-64482
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Tuleap Community Edition przed wersją 16.13.99.1762267347 oraz Tuleap Enterprise Edition przed wersjami 17.01-, 16.13-6 i 16.12-9 nie mają zabezpieczeń przed cross-site request forgery w systemie wydawania plików. Atakujący może wykorzystać tę podatność, aby nakłonić ofiary do zmiany reguł commitów lub niezmiennych tagów repozytorium SVN.
Ocena ryzyka
Atakujący może zmienić reguły commitów lub niezmienne tagi w repozytorium SVN, co może prowadzić do nieautoryzowanych modyfikacji kodu lub naruszenia integralności repozytorium. Wymaga to interakcji ofiary, ale może mieć poważne konsekwencje dla procesu tworzenia oprogramowania.
Rekomendacja
Zaktualizuj Tuleap Community Edition do wersji 16.13.99.1762267347 lub Tuleap Enterprise Edition do wersji 17.0-1, 16.13-6 albo 16.12-9. Poinformuj administratorów o ryzyku związanym z klikaniem w nieznane linki.
Inne podatności w Tuleap
Zobacz wszystkie- CVE-2026-105407Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Tuleap Enterprise Edition od wersji 17.0 do 17.5 umożliwia atakującemu wykonanie dowolnych poleceń na serwerze.
- CVE-2025-65962Średnie
Podatność w Tuleap (Community Edition przed 17.0.99.1763803709 oraz Enterprise Edition przed 17.0-4 i 16.13-9) polegająca na braku ochrony CSRF w zależnościach pól trackera, umożliwiająca atakującym modyfikację pól trackera.
- CVE-2025-64760Średnie
Tuleap to darmowy zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition przed 17.0.99.1763126988 oraz Tuleap Enterprise Edition przed 17.0-3 i 16.13-8 mają brakujące zabezpieczenia CSRF, co pozwala atakującym na tworzenie lub usuwanie wyzwalaczy trackerów. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1763126988 oraz Tuleap Enterprise Edition 17.0-3 i 16.13-8.
- CVE-2025-64499Średnie
Tuleap Community Edition przed wersją 17.0.99.1762456922 oraz Tuleap Enterprise Edition przed wersjami 17.0-2, 16.13-7 i 16.12-10 są podatne na ataki CSRF poprzez API zarządzania planowaniem. Atakujący mogą tworzyć, edytować lub usuwać plany.
- CVE-2025-64498Średnie
Tuleap to zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition poniżej 17.0.99.1762444754 oraz Tuleap Enterprise Edition przed 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym nakłonić ofiary do zmiany ogólnych ustawień trackera. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1762444754 oraz Tuleap Enterprise Edition 17.0-2, 16.13-7 i 16.12-10.
- CVE-2025-64497Średnie
Tuleap Community Edition w wersjach poniżej 17.0.99.1762431347 oraz Tuleap Enterprise Edition w wersjach poniżej 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym na dostęp do informacji o systemie wydań plików w projektach, do których nie mają dostępu. Problem został naprawiony w wersji 17.0.99.1762431347 Community Edition oraz w wersjach 17.0-2, 16.13-7 i 16.12-10 Enterprise Edition.
- CVE-2025-64117Średnie
Tuleap Community Edition przed wersją 16.13.99.1761813675 oraz Tuleap Enterprise Edition przed wersjami 16.13-5 i 16.12-8 nie mają zabezpieczeń przed cross-site request forgery w zarządzaniu regułami commitów SVN i niezmiennymi tagami. Atakujący może wykorzystać tę podatność, aby nakłonić ofiary do zmiany reguł commitów lub niezmiennych tagów repozytorium SVN.
- CVE-2025-54877Średnie
W Tuleap atakujący może uzyskać dostęp do zawartości specjalnych, zawsze obecnych pól dostępnych artefaktów, nawet jeśli uprawnienia powiązane z tymi polami na to nie pozwalają. Podatność została naprawiona w Tuleap Community Edition 16.10.99.1754050155 oraz Tuleap Enterprise Edition 16.9-8 i 16.10-5.
- CVE-2023-35938Średnie
Tuleap ma problem z zarządzaniem uprawnieniami użytkowników po zmianie widoczności projektu. Użytkownicy z ograniczonym dostępem, którzy byli administratorami projektu przed zmianą, nadal mają dostęp do projektu i mogą wykonywać działania administracyjne.
Oryginalny opis (angielski, źródło NVD)
Tuleap is an Open Source Suite to improve management of software developments and collaboration. Tuleap Community Edition prior to version 16.13.99.1762267347 and Tuleap Enterprise Edition prior to versions 17.01-, 16.13-6, and 16.12-9 don't have cross-site request forgery protections in the file release system. An attacker could use this vulnerability to trick victims into changing the commit rules or immutable tags of a SVN repo. Tuleap Community Edition 16.13.99.1762267347, Tuleap Enterprise Edition 17.0-1, Tuleap Enterprise Edition 16.13-6, and Tuleap Enterprise Edition 16.12-9 fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS