CVE-2025-67502
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Taguette to narzędzie open source do badań jakościowych. W wersjach 1.5.1 i starszych atakujący mogą tworzyć złośliwe adresy URL, które po uwierzytelnieniu przekierowują użytkowników do dowolnych zewnętrznych witryn, ponieważ aplikacja przyjmuje kontrolowany przez użytkownika parametr next i używa go bezpośrednio w przekierowaniach HTTP bez walidacji.
Ocena ryzyka
Podatność może być wykorzystana do ataków phishingowych, w których ofiary są przekierowywane do złośliwych witryn w celu kradzieży danych uwierzytelniających lub dostarczenia złośliwego oprogramowania. Może to prowadzić do kompromitacji kont użytkowników.
Rekomendacja
Zaktualizuj Taguette do wersji 1.5.2, która naprawia ten problem. Poinformuj użytkowników o ryzyku phishingu i zweryfikuj, czy aplikacja nie używa podatnej wersji.
Inne podatności w Taguette
Zobacz wszystkie- CVE-2025-62528Średnie
Taguette to otwarte narzędzie do badań jakościowych. W wersjach przed 1.5.0 członek projektu mógł umieścić kod JavaScript w polach nazwy lub opisu, który wykonywał się przy wczytaniu projektu. Podatność została naprawiona w wersji 1.5.0.
- CVE-2025-62527Wysokie
Taguette to narzędzie badawcze typu open source. W wersjach przed 1.5.0 odkryto problem: atakujący mógł wysłać prośbę o zresetowanie hasła zawierającą złośliwy link, co po kliknięciu przez ofiarę pozwalało atakującemu na ustawienie adresu e-mail. Problem został naprawiony w wersji 1.5.0.
Oryginalny opis (angielski, źródło NVD)
Taguette is an open source qualitative research tool. In versions 1.5.1 and below, attackers can craft malicious URLs that redirect users to arbitrary external websites after authentication. The application accepts a user-controlled next parameter and uses it directly in HTTP redirects without any validation. This can be exploited for phishing attacks where victims believe they are interacting with a trusted Taguette instance but are redirected to a malicious site designed to steal credentials or deliver malware. This issue is fixed in version 1.5.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS