CVE-2025-65858

NiskieCVSS 3.5

Opublikowano: 02/12/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

W Calibre-Web v0.6.25 występuje podatność Stored Cross-Site Scripting (XSS), która pozwala atakującym wstrzyknąć złośliwy JavaScript do pola 'username' podczas tworzenia użytkownika. Ładunek jest przechowywany bez sanityzacji i później wykonywany przy dostępie do endpointu /ajax/listusers.

Ocena ryzyka

Może prowadzić do wykonania złośliwego skryptu w przeglądarce administratora lub innych użytkowników, umożliwiając kradzież sesji lub działania w ich imieniu. Narusza integralność i poufność aplikacji.

Rekomendacja

Zaktualizuj Calibre-Web do wersji zawierającej poprawkę lub wdróż sanityzację pola 'username' i kodowanie wyjścia. Do czasu aktualizacji ogranicz możliwość tworzenia użytkowników do zaufanych osób.

Inne podatności w Calibre-Web

CVE-2026-7709Średnie
W janeczku Calibre-Web do wersji 0.6.26 zidentyfikowano podatność w funkcji generate_auth_token w pliku cps/kobo_auth.py. Manipulacja argumentem user_id prowadzi do niewłaściwej autoryzacji, a atak można przeprowadzić zdalnie.

Oryginalny opis (angielski, źródło NVD)

A Stored Cross-Site Scripting (XSS) vulnerability in Calibre-Web v0.6.25 allows attackers to inject malicious JavaScript into the 'username' field during user creation. The payload is stored unsanitized and later executed when the /ajax/listusers endpoint is accessed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS