CVE-2025-66486
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 jest podatny na wstrzykiwanie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków phishingowych lub kradzieży danych w kontekście zaufanej witryny.
Rekomendacja
Zaktualizuj IBM Aspera Shares do najnowszej dostępnej wersji, która zawiera poprawkę.
Inne podatności w IBM Aspera Shares
Zobacz wszystkie- CVE-2025-66487Niskie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 nie ogranicza odpowiednio częstotliwości wysyłania wiadomości e-mail przez uwierzytelnionego użytkownika, co może prowadzić do zalewania skrzynki e-mailowej lub ataku DoS.
- CVE-2025-66485Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 jest podatny na wstrzykiwanie nagłówków HTTP z powodu niewłaściwej walidacji nagłówka HOST. Atakujący może przeprowadzić różne ataki, takie jak cross-site scripting, cache poisoning lub przejęcie sesji.
- CVE-2025-66484Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 jest podatny na przechowywany cross-site scripting. Podatność ta pozwala użytkownikom na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2025-66483Średnie
W IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 sesja nie jest unieważniana po zresetowaniu hasła, co może pozwolić uwierzytelnionemu użytkownikowi na podszywanie się pod innego użytkownika w systemie.
- CVE-2025-13916Średnie
IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 używa słabszych niż oczekiwano algorytmów kryptograficznych, co może pozwolić atakującemu na odszyfrowanie bardzo wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Shares 1.9.9 through 1.11.0 is vulnerable to HTML injection. A remote attacker could inject malicious HTML code, which when viewed, would be executed in the victim's Web browser within the security context of the hosting site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS