CVE-2025-64758

ŚrednieCVSS 4.8

Opublikowano: 17/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

@dependencytrack/frontend to aplikacja jednostronicowa (SPA) używana w Dependency-Track, open-source'owej platformie analizy komponentów. Od wersji 4.12.0 użytkownicy Dependency-Track z uprawnieniem SYSTEM_CONFIGURATION mogą skonfigurować "wiadomość powitalną", która jest HTML renderowanym na stronie logowania w celach brandingowych. Podczas renderowania wiadomości powitalnej wersje Dependency-Track przed 4.13.6 nie sanityzowały poprawnie HTML, umożliwiając wykonanie dowolnego JavaScriptu. Użytkownicy z uprawnieniem SYSTEM_CONFIGURATION (np. administratorzy) mogą wykorzystać tę słabość do wykonania dowolnego JavaScriptu dla użytkowników przeglądających stronę logowania.

Ocena ryzyka

Może to prowadzić do ataków XSS wymierzonych w użytkowników logujących się, potencjalnie kradzieży danych uwierzytelniających.

Rekomendacja

Zaktualizuj Dependency-Track do wersji 4.13.6 lub nowszej.

Inne podatności w Dependency-Track

CVE-2025-61776Średnie
Dependency-Track przed wersją 4.13.5 może wysyłać poświadczenia przeznaczone dla prywatnego repozytorium NuGet do api.nuget.org przez nagłówek HTTP Authorization oraz ujawniać nazwy i wersje komponentów oznaczonych jako wewnętrzne. Dzieje się tak, gdy instancja zawiera komponenty .NET, skonfigurowano niestandardowe repozytorium NuGet z poświadczeniami, a serwer repozytorium nie udostępnia zasobu PackageBaseAddress w swoim indeksie usług. Problem naprawiono w wersji 4.13.5. Dostępne są obejścia: wyłączyć niestandardowe repozytoria NuGet do czasu zastosowania poprawki, unieważnić poprzednie poświadczenia i wygenerować nowe.

Oryginalny opis (angielski, źródło NVD)

@dependencytrack/frontend is a Single Page Application (SPA) used in Dependency-Track, an open source Component Analysis platform that allows organizations to identify and reduce risk in the software supply chain. Since version 4.12.0, Dependency-Track users with the SYSTEM_CONFIGURATION permission can configure a "welcome message", which is HTML that is to be rendered on the login page for branding purposes. When rendering the welcome message, Dependency-Track versions before 4.13.6 did not properly sanitize the HTML, allowing arbitrary JavaScript to be executed. Users with the SYSTEM_CONFIGURATION permission (i.e., administrators), can exploit this weakness to execute arbitrary JavaScript for users browsing to the login page. The issue has been fixed in version 4.13.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS