CVE-2025-64716

ŚrednieCVSS 5.1

Opublikowano: 13/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

Anubis, narzędzie Web AI Firewall, w wersjach przed 1.23.0 nie przeprowadzało walidacji adresu URL przekierowania przy uwierzytelnianiu podżądań, umożliwiając przekierowanie użytkownika do dowolnego schematu URL. Choć większość nowoczesnych przeglądarek blokuje przekierowania do adresów `javascript:`, w niektórych przypadkach może to wywołać niebezpieczne zachowanie. Problem naprawiono w wersji 1.23.0.

Ocena ryzyka

Osoby korzystające z uwierzytelniania podżądań mogą zostać przekierowane do niebezpiecznych adresów URL, co w niektórych przeglądarkach może prowadzić do wykonania złośliwego kodu lub innych szkodliwych działań.

Rekomendacja

Zaktualizuj Anubis do wersji 1.23.0, która zawiera poprawkę tego problemu.

Inne podatności w Anubis

CVE-2026-62314Średnie
Podatność w Anubis Web AI Firewall Utility od wersji 1.22.0 do 1.26.0-pre1 pozwala atakującemu na ominięcie wyzwania Anubis poprzez manipulację nagłówkiem X-Original-URI. Funkcja PathChecker.Check() ufała kontrolowanemu przez klienta nagłówkowi przed dopasowaniem do ścieżki URL, co umożliwiało wykorzystanie reguł ALLOW dla wzorców takich jak ^/\.well-known/.*$.

Oryginalny opis (angielski, źródło NVD)

Anubis is a Web AI Firewall Utility that challenges users' connections in order to protect upstream resources from scraper bots. Prior to version 1.23.0, when using subrequest authentication, Anubis did not perform validation of the redirect URL and redirects user to any URL scheme. While most modern browsers do not allow a redirect to `javascript:` URLs, it could still trigger dangerous behavior in some cases. Anybody with a subrequest authentication may be affected. Version 1.23.0 contains a fix for the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS