CVE-2025-65120
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na odbity cross-site scripting (XSS) istnieje w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji lub innych wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację GroupSession do wersji 5.7.1 lub nowszej.
Inne podatności w GroupSession
Zobacz wszystkie- CVE-2025-66284Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
- CVE-2025-64781Średnie
GroupSession Free edition, byCloud i ZION przed wersją 5.7.1 mają ustawienie "Ograniczenie wyświetlania stron zewnętrznych" na "Nie ograniczaj" w konfiguracji początkowej. Dzięki tej konfiguracji użytkownik może zostać przekierowany na dowolną stronę internetową po otwarciu specjalnie spreparowanego URL-a.
- CVE-2025-62192Średnie
Podatność na SQL Injection istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli zostanie wykorzystana, uwierzytelniony użytkownik może uzyskać lub zmodyfikować informacje przechowywane w bazie danych.
- CVE-2025-61987Średnie
GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2 nie walidują pochodzenia (origin) w WebSockets. Jeśli użytkownik odwiedzi spreparowaną stronę, informacje z czatu wysyłane do użytkownika mogą zostać ujawnione.
- CVE-2025-61950Średnie
W GroupSession, okólnik może być utworzony z polem memo nieedytowalnym, ale kontrola autoryzacji jest nieprawidłowo zaimplementowana. Przy użyciu spreparowanego żądania, zalogowany użytkownik może zmienić pole memo. Dotknięte produkty i wersje to GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2.
- CVE-2025-58576Średnie
Podatność na Cross-site request forgery istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli użytkownik odwiedzi złośliwą stronę będąc zalogowanym, mogą zostać wykonane nieautoryzowane operacje.
- CVE-2025-57883Średnie
Podatność na odzwierciedlony atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-54407Średnie
Podatność na trwały atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-53523Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
Oryginalny opis (angielski, źródło NVD)
Reflected cross-site scripting vulnerability exists in GroupSession Free edition prior to ver5.7.1, GroupSession byCloud prior to ver5.7.1, and GroupSession ZION prior to ver5.7.1. If a user accesses a crafted page or URL, an arbitrary script may be executed on the web browser of the user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS