CVE-2025-64498
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Tuleap to zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition poniżej 17.0.99.1762444754 oraz Tuleap Enterprise Edition przed 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym nakłonić ofiary do zmiany ogólnych ustawień trackera. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1762444754 oraz Tuleap Enterprise Edition 17.0-2, 16.13-7 i 16.12-10.
Ocena ryzyka
Atakujący może bez wiedzy administratora zmieniać ogólne ustawienia trackera, co może prowadzić do nieautoryzowanych zmian w konfiguracji i potencjalnych błędów w śledzeniu zadań. Ryzyko jest realne, jeśli administrator jest zalogowany i kliknie w złośliwy link.
Rekomendacja
Zaktualizuj Tuleap do wersji Community Edition 17.0.99.1762444754 lub Enterprise Edition 17.0-2 / 16.13-7 / 16.12-10. Dodatkowo wdrożyć zasadę minimalnych uprawnień i edukować administratorów w zakresie nieklikania w nieznane linki.
Inne podatności w Tuleap
Zobacz wszystkie- CVE-2025-65962Średnie
Podatność w Tuleap (Community Edition przed 17.0.99.1763803709 oraz Enterprise Edition przed 17.0-4 i 16.13-9) polegająca na braku ochrony CSRF w zależnościach pól trackera, umożliwiająca atakującym modyfikację pól trackera.
- CVE-2025-64760Średnie
Tuleap to darmowy zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition przed 17.0.99.1763126988 oraz Tuleap Enterprise Edition przed 17.0-3 i 16.13-8 mają brakujące zabezpieczenia CSRF, co pozwala atakującym na tworzenie lub usuwanie wyzwalaczy trackerów. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1763126988 oraz Tuleap Enterprise Edition 17.0-3 i 16.13-8.
- CVE-2025-64499Średnie
Tuleap Community Edition przed wersją 17.0.99.1762456922 oraz Tuleap Enterprise Edition przed wersjami 17.0-2, 16.13-7 i 16.12-10 są podatne na ataki CSRF poprzez API zarządzania planowaniem. Atakujący mogą tworzyć, edytować lub usuwać plany.
- CVE-2025-64497Średnie
Tuleap Community Edition w wersjach poniżej 17.0.99.1762431347 oraz Tuleap Enterprise Edition w wersjach poniżej 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym na dostęp do informacji o systemie wydań plików w projektach, do których nie mają dostępu. Problem został naprawiony w wersji 17.0.99.1762431347 Community Edition oraz w wersjach 17.0-2, 16.13-7 i 16.12-10 Enterprise Edition.
- CVE-2023-35938Średnie
Tuleap ma problem z zarządzaniem uprawnieniami użytkowników po zmianie widoczności projektu. Użytkownicy z ograniczonym dostępem, którzy byli administratorami projektu przed zmianą, nadal mają dostęp do projektu i mogą wykonywać działania administracyjne.
Oryginalny opis (angielski, źródło NVD)
Tuleap is an Open Source Suite for management of software development and collaboration. Tuleap Community Edition versions below 17.0.99.1762444754 and Tuleap Enterprise Edition versions prior to 17.0-2, 16.13-7 and 16.12-10 allow attackers trick victims into changing tracker general settings. This issue is fixed in version Tuleap Community Edition version 17.0.99.1762444754 and Tuleap Enterprise Edition versions 17.0-2, 16.13-7 and 16.12-10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS