CVE-2025-65796
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami arbitralne usuwanie reakcji dodanych do notatek innych użytkowników.
Ocena ryzyka
Organizacja narażona jest na naruszenie integralności danych i potencjalne zakłócenie interakcji społecznościowych, ponieważ atakujący może usuwać reakcje bez odpowiednich uprawnień.
Rekomendacja
Należy natychmiast zaktualizować usememos memos do najnowszej wersji, która zawiera poprawkę dla tej luki, oraz przejrzeć konfigurację kontroli dostępu.
Inne podatności w usememos memos
Zobacz wszystkie- CVE-2025-65799Średnie
W usłudze załączników w usememos memos v0.25.2 brak walidacji nazw plików umożliwia atakującym wykonanie path traversal. Podatność pozwala na dostęp do plików poza zamierzonym katalogiem.
- CVE-2025-65797Średnie
Podatność w usłudze Identity Provider w usememos memos v0.25.2 umożliwia atakującym z niskimi uprawnieniami modyfikację lub usunięcie zarejestrowanych dostawców tożsamości. Może to prowadzić do przejęcia konta lub ataku typu Denial of Service (DoS).
- CVE-2025-65795Wysokie
Podatność w usememos memos v0.25.2 umożliwia nieautoryzowanym atakującym tworzenie dowolnych kont poprzez spreparowane żądanie do endpointu /api/v1/user z powodu nieprawidłowej kontroli dostępu.
- CVE-2025-65798Średnie
W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami dowolną modyfikację lub usuwanie załączników utworzonych przez innych użytkowników.
- CVE-2023-4698Wysokie
W repozytorium GitHub usememos/memos przed wersją 0.13.2 występuje niewłaściwa walidacja danych wejściowych.
- CVE-2023-4697Wysokie
W repozytorium GitHub usememos/memos przed wersją 0.13.2 występuje niewłaściwe zarządzanie uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in usememos memos v0.25.2 allows attackers with low-level privileges to arbitrarily delete reactions made to other users' Memos.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS