CVE-2025-66270
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Protokół KDE Connect w wersji 8 przed 2025-11-28 nie koreluje identyfikatorów urządzeń między dwoma pakietami. Podatność dotyczy KDE Connect przed 25.12 na pulpicie, KDE Connect przed 0.5.4 na iOS, KDE Connect przed 1.34.4 na Androidzie, GSConnect przed 68 oraz Valent przed 1.0.0.alpha.49.
Ocena ryzyka
Brak korelacji identyfikatorów urządzeń może pozwolić atakującemu na podszycie się pod inne urządzenie lub zakłócenie komunikacji, co może prowadzić do nieautoryzowanego dostępu lub naruszenia poufności danych przesyłanych między urządzeniami.
Rekomendacja
Zaktualizuj KDE Connect do wersji 25.12 lub nowszej na pulpicie, 0.5.4 lub nowszej na iOS, 1.34.4 lub nowszej na Androidzie, GSConnect do wersji 68 lub nowszej oraz Valent do wersji 1.0.0.alpha.49 lub nowszej.
Inne podatności w KDE Connect
Zobacz wszystkie- CVE-2025-32900Średnie
W protokole wymiany informacji KDE Connect przed 2025-04-18 można spreparować pakiet, aby tymczasowo zmienić wyświetlane informacje o urządzeniu, ponieważ używany jest broadcast UDP. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.
- CVE-2025-32898Średnie
Protokół kodu weryfikacyjnego KDE Connect przed 2025-04-18 używa tylko 8 znaków, co umożliwia ataki brute-force. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.
Oryginalny opis (angielski, źródło NVD)
The KDE Connect protocol 8 before 2025-11-28 does not correlate device IDs across two packets. This affects KDE Connect before 25.12 on desktop, KDE Connect before 0.5.4 on iOS, KDE Connect before 1.34.4 on Android, GSConnect before 68, and Valent before 1.0.0.alpha.49.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS