CVE-2025-65963
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Moduł Files do zarządzania plikami w przestrzeniach i profilach użytkowników przed wersjami 0.16.11 i 0.17.2 ma niewystarczające kontrole autoryzacji. Umożliwia to użytkownikom niebędącym członkami tworzenie nowych folderów oraz przesyłanie i pobieranie plików jako archiwum ZIP w przestrzeniach publicznych; przestrzenie prywatne nie są dotknięte.
Ocena ryzyka
Nieuprawnieni użytkownicy mogą modyfikować zawartość publicznych przestrzeni i pobierać pliki, co może prowadzić do wycieku danych lub nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj moduł Files do wersji 0.16.11 lub 0.17.2 (lub nowszej).
Inne podatności w Files
Zobacz wszystkie- CVE-2025-59026Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-30186Średnie
Złośliwa zawartość przesłana jako plik może zostać wykorzystana do wykonania kodu skryptowego po kliknięciu linków kontrolowanych przez atakującego. Może to prowadzić do niepożądanych działań w kontekście konta użytkownika, w tym do wycieku poufnych informacji.
- CVE-2025-54790Średnie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wykorzystaniu zapytań SQL w backendzie bez bezpośredniego wyniku, co może umożliwić nieautoryzowany dostęp do danych. Problem został naprawiony w wersji 0.16.10.
- CVE-2025-54789Średnie
Moduł Files w wersjach 0.16.9 i starszych nie zawiera logiki zapobiegającej wstrzykiwaniu dowolnego JavaScriptu w funkcji przenoszenia plików, co może prowadzić do wykonania kodu JS w kontekście sesji użytkownika. Problem naprawiono w wersji 0.16.10.
Oryginalny opis (angielski, źródło NVD)
Files is a module for managing files inside spaces and user profiles. Prior to versions 0.16.11 and 0.17.2, insufficient authorization checks allow non-member users to create new folders, up- and download files as a ZIP archive in public spaces. Private spaces are not affected. This issue has been patched in versions 0.16.11 and 0.17.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS