CVE-2025-64753
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
grist-core to serwer hostujący arkusze kalkulacyjne. Przed wersją 1.7.7 użytkownik z tylko częściowym dostępem do odczytu dokumentu mógł nadal uzyskiwać dostęp do punktów końcowych listujących hashe wersji tego dokumentu i otrzymywać pełną listę zmian między wersjami, nawet jeśli te zmiany zawierały komórki, kolumny lub tabele, do których użytkownik nie powinien mieć dostępu do odczytu. Zostało to naprawione w wersji 1.7.7 poprzez ograniczenie punktu końcowego /compare do użytkowników z pełnym dostępem do odczytu.
Ocena ryzyka
Może to prowadzić do ujawnienia poufnych informacji zawartych w dokumentach użytkownikom bez odpowiednich uprawnień.
Rekomendacja
Zaktualizuj grist-core do wersji 1.7.7 lub nowszej. Jako obejście, usuń wrażliwą historię dokumentu za pomocą punktu końcowego /states/remove lub zablokuj punkt końcowy /compare.
Inne podatności w grist-core
Oryginalny opis (angielski, źródło NVD)
grist-core is a spreadsheet hosting server. Prior to version 1.7.7, a user with only partial read access to a document could still access endpoints listing hashes for versions of that document and receive a full list of changes between versions, even if those changes contained cells, columns, or tables to which the user was not supposed to have read access. This was fixed in version 1.7.7 by restricting the `/compare` endpoint to users with full read access. As a workaround, remove sensitive document history using the `/states/remove` endpoint. Another possibility is to block the `/compare` endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS