CVE-2025-65187

ŚrednieCVSS 6.1

Opublikowano: 02/12/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W CiviCRM przed wersją v6.7 istnieje podatność Stored Cross Site Scripting w polu Accounting Batches. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykonuje się przy każdym wyświetleniu strony.

Ocena ryzyka

Atakujący z ważnym kontem może zapisać złośliwy skrypt, który wykona się w przeglądarkach innych użytkowników, w tym administratorów, umożliwiając kradzież sesji lub manipulację danymi.

Rekomendacja

Zaktualizować CiviCRM do wersji v6.7 lub nowszej oraz wdrożyć sanityzację danych wejściowych w polu Accounting Batches. Rozważyć wdrożenie nagłówków Content-Security-Policy.

Inne podatności w CiviCRM

CVE-2026-72558Wysokie
Podatność SQL injection w CiviCRM do wersji 6.18.alpha1 pozwala uwierzytelnionemu personelowi na odczyt całej bazy danych przez klauzulę RLIKE w wyszukiwaniu kontaktów. Wartość użytkownika jest konkatenowana do zapytania SQL bez sanityzacji.

Oryginalny opis (angielski, źródło NVD)

A Stored Cross Site Scripting vulnerability exists in CiviCRM before v6.7 in the Accounting Batches field. An authenticated user can inject malicious JavaScript into this field and it executes whenever the page is viewed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS