CVE-2025-66629
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
HedgeDoc to otwartoźródłowa aplikacja do współpracy w czasie rzeczywistym nad notatkami w formacie Markdown. Przed wersją 1.10.4 niektóre punkty końcowe OAuth2 dla dostawców logowania społecznościowego, takich jak Google, GitHub, GitLab, Facebook lub Dropbox, nie mają ochrony przed CSRF, ponieważ nie wysyłają parametru state i nie weryfikują odpowiedzi za jego pomocą. Podatność została naprawiona w wersji 1.10.4.
Ocena ryzyka
Brak ochrony CSRF w przepływie OAuth2 może pozwolić atakującemu na wymuszenie logowania ofiary na konto atakującego lub przejęcie sesji. Może to prowadzić do nieautoryzowanego dostępu do notatek i danych użytkownika.
Rekomendacja
Należy zaktualizować HedgeDoc do wersji 1.10.4 lub nowszej. Zaleca się również weryfikację konfiguracji dostawców OAuth2 i monitorowanie nietypowych zdarzeń logowania.
Inne podatności w HedgeDoc
Zobacz wszystkie- CVE-2026-58489Średnie
W aplikacji HedgeDoc przed wersją 1.11.0 stwierdzono podatność w przepływie eksportu do GitHub Gist. Mechanizm OAuth2 nie walidował poprawnie parametru state, co umożliwiało atakującemu sfałszowanie adresu zwrotnego i podmianę kodu autoryzacyjnego. W rezultacie ofiara klikająca w spreparowany link mogła nieświadomie wyeksportować swoją prywatną notatkę do Gist kontrolowanego przez atakującego.
- CVE-2026-58486Wysokie
HedgeDoc przed wersją 1.11.0 był podatny na bombę aliasów YAML w frontmatter notatek. Niebezpieczne parsowanie za pomocą js-yaml.load powodowało rozwijanie aliasów kotwic YAML, co prowadziło do ogromnych struktur danych i nadmiernego zużycia CPU. Atak mógł zablokować pętlę zdarzeń Node.js na około 235 sekund na żądanie, powodując odmowę usługi (DoS).
- CVE-2026-58488Średnie
HedgeDoc w wersjach przed 1.11.0 umożliwiał atakującym ominięcie ograniczeń szybkości żądań do ścieżek /login i /register poprzez fałszowanie nagłówka cf-connecting-ip. Aplikacja ufała temu nagłówkowi nawet gdy żądanie nie pochodziło z Cloudflare, co pozwalało na spamowanie logowaniem lub tworzenie wielu kont.
- CVE-2026-58487Średnie
HedgeDoc przed wersją 1.11.0 był podatny na przechowywany atak HTML Injection przez niebezpieczne przetwarzanie lokalnej części adresu e-mail. Atakujący mógł zarejestrować specjalnie spreparowany adres e-mail i wstrzyknąć dowolny kod HTML do stron wyświetlanych innym użytkownikom.
- CVE-2023-38487Średnie
HedgeDoc przed wersją 1.9.9 pozwalał na tworzenie notatek z aliasem odpowiadającym ID istniejących notatek, co skutkowało ukrywaniem oryginalnych notatek. Użytkownicy mogli wykorzystać tę lukę do manipulacji treścią notatek oraz uniemożliwienia dostępu do oryginalnych notatek.
Oryginalny opis (angielski, źródło NVD)
HedgeDoc is an open source, real-time, collaborative, markdown notes application. Prior to 1.10.4, some of HedgeDoc's OAuth2 endpoints for social login providers such as Google, GitHub, GitLab, Facebook or Dropbox lack CSRF protection, since they don't send a state parameter and verify the response using this parameter. This vulnerability is fixed in 1.10.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS