CVE-2026-71555
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Od wersji 2.1.0 do 4.14.1 PILOS nie wysyła nagłówka odpowiedzi Cross-Origin-Opener-Policy, więc strony otwierane przez PILOS za pomocą linku otwierającego nowy kontekst przeglądania (np. target="_blank") zachowują referencję window.opener do oryginalnej karty PILOS. Złośliwa strona docelowa może użyć window.opener do nawigacji lub manipulacji oryginalną kartą PILOS, co jest techniką znaną jako reverse tabnabbing, potencjalnie przekierowując uwierzytelnionego użytkownika na stronę phishingową imitującą PILOS. Problem naprawiono w wersji 4.14.1.
Ocena ryzyka
Ryzyko dla organizacji to możliwość przeprowadzenia ataku phishingowego na uwierzytelnionych użytkowników PILOS, co może prowadzić do kradzieży danych logowania lub innych wrażliwych informacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie PILOS do wersji 4.14.1 lub nowszej, która zawiera poprawkę tej podatności, oraz poinformowanie użytkowników o ryzyku otwierania linków z PILOS.
Inne podatności w PILOS
Zobacz wszystkie- CVE-2025-62781Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Przed wersją 4.8.0 użytkownicy z lokalnym kontem mogą zmienić swoje hasło podczas logowania. Po zmianie hasła wszystkie inne aktywne sesje są kończone, z wyjątkiem bieżącej. Jednak token bieżącej sesji pozostaje ważny i nie jest odświeżany. Jeśli atakujący wcześniej uzyskał ten token sesji przez inną podatność, zmiana hasła nie unieważni jego dostępu. W rezultacie atakujący może nadal działać jako użytkownik nawet po zmianie hasła. Podatność została naprawiona w wersji 4.8.0.
- CVE-2025-62524Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. W wersjach przed 4.8.0 ujawnia wersję PHP poprzez nagłówek X-Powered-By, co umożliwia atakującym fingerprinting serwera i ocenę potencjalnych exploitów.
- CVE-2025-62523Średnie
Błędna konfiguracja CORS w PILOS przed wersją 4.8.0: odzwierciedla nagłówek Origin w Access-Control-Allow-Origin bez walidacji, przy jednoczesnym ustawieniu Access-Control-Allow-Credentials na true. Jednak zabezpieczenia sesji Laravel sprawiają, że typowe wdrożenia nie są podatne na wykorzystanie.
Oryginalny opis (angielski, źródło NVD)
PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. From 2.1.0 until 4.14.1, PILOS does not send a Cross-Origin-Opener-Policy response header, so pages opened by PILOS via a link that opens a new browsing context (e.g., target="_blank") retain a window.opener reference back to the originating PILOS tab. A malicious destination page reached this way can use window.opener to navigate or manipulate the original PILOS tab, a technique known as reverse tabnabbing, potentially redirecting an authenticated user to a phishing page that mimics PILOS. This issue is fixed in version 4.14.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS