CVE-2025-64705
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Frappe Learning to system do nauki, który pomaga użytkownikom strukturyzować treści. W wersjach od 2.0.0 do przed 2.41.0 użytkownicy mogli uzyskać dostęp do zgłoszeń (submissions) innych uczniów. Problem został naprawiony w wersji 2.41.0 poprzez zapewnienie odpowiednich ról i przekierowanie w przypadku dostępu przez bezpośredni URL.
Ocena ryzyka
Naruszenie poufności danych — nieuprawniony użytkownik może przeglądać zgłoszenia innych uczniów, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Zaktualizuj Frappe Learning do wersji 2.41.0 lub nowszej. Sprawdź, czy wcześniej nie doszło do nieautoryzowanego dostępu do zgłoszeń.
Inne podatności w Frappe Learning
Zobacz wszystkie- CVE-2025-64707Średnie
Frappe Learning to system wspomagający strukturę treści. W wersjach od 2.0.0 do wersji przed 2.41.0 odebranie roli użytkownikowi przez administratora nie działało natychmiast z powodu buforowania. Problem naprawiono w wersji 2.41.0, zapewniając czyszczenie pamięci podręcznej po aktualizacji ról.
- CVE-2025-62779Średnie
Frappe Learning w wersji 2.39.1 i wcześniejszych umożliwia użytkownikom dodawanie HTML przez pola wejściowe w formularzu pracy (Job Form). Może to prowadzić do wstrzykiwania złośliwego kodu HTML lub JavaScript.
- CVE-2025-62778Średnie
Frappe Learning, system zarządzania nauką, w wersji 2.39.1 i wcześniejszych ma problem bezpieczeństwa, gdzie uczniowie mogą uzyskać dostęp do formularza quizu, jeśli znają adres URL.
- CVE-2025-62158Średnie
Frappe Learning to system edukacyjny. W wersjach przed 2.38.0 system przechowywał załączniki przesłane przez uczniów w zadaniach jako pliki publiczne, co potencjalnie narażało te pliki na publiczny dostęp. Każdy znający URL pliku mógł uzyskać do niego dostęp bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
Frappe Learning is a learning system that helps users structure their content. Starting in version 2.0.0 and prior to version 2.41.0, users were able to access the submissions made by other students The issue has been fixed in version 2.41.0 by ensuring proper roles and redirecting if accessed via direct URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS