CVE-2025-66823
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie HTML w serwerze TrueConf 5.5.2.10813 w polu opisu konferencji umożliwia atakującemu wstrzyknięcie dowolnego HTML w funkcji tworzenia/edycji konferencji. Ładunek jest wyzwalany, gdy ofiara otworzy stronę informacji o konferencji ([adres konferencji]/info).
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy HTML, co może prowadzić do kradzieży danych, phishingu lub innych ataków na użytkowników przeglądających informacje o konferencji.
Rekomendacja
Zaktualizuj serwer TrueConf do najnowszej wersji i unikaj otwierania nieznanych linków do konferencji.
Inne podatności w TrueConf server
Zobacz wszystkie- CVE-2026-72530KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może użyć specjalnie spreparowanego skryptu, aby wydostać się z izolowanego środowiska i wykonać dowolny kod na systemie hosta.
- CVE-2026-72529KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może wykonać dowolny skrypt, wywołując nieudokumentowaną funkcję.
- CVE-2025-66834Wysokie
Podatność CSV Formula Injection w TrueConf Server v5.5.2.10813 pozwala zwykłemu użytkownikowi na wstrzyknięcie złośliwych formuł arkusza kalkulacyjnego do eksportowanych logów czatu poprzez spreparowaną nazwę wyświetlaną.
- CVE-2025-66824Wysokie
Podatność Stored Cross-Site Scripting (XSS) w polu lokalizacji spotkania w funkcji Create/Edit Conference w TrueConf Server v5.5.2.10813. Wstrzyknięty payload jest przechowywany przez parametr meeting_room i wykonywany, gdy użytkownicy odwiedzają stronę Conference Info, co pozwala na pełne przejęcie konta (ATO).
- CVE-2017-20120Średnie
Znaleziono podatność sklasyfikowaną jako problematyczną w TrueConf Server 4.3.7. Dotyczy ona nieznanego kodu w pliku /admin/service/stop/. Manipulacja prowadzi do cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty.
Oryginalny opis (angielski, źródło NVD)
An HTML Injection vulnerability in TrueConf server 5.5.2.10813 in the conference description field allows an attacker to inject arbitrary HTML in the Create/Edit conference functionality. The payload will be triggered when the victim opens the Conference Info page ([conference url]/info).