Aktywnie wykorzystywana w atakach
TrueConf Server Code Injection Vulnerability
TrueConf - Server · Figuruje w katalogu CISA KEV od 2026-08-20. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-72530
KrytyczneCVSS 9.0KEVPrawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może użyć specjalnie spreparowanego skryptu, aby wydostać się z izolowanego środowiska i wykonać dowolny kod na systemie hosta.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie systemu hosta, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację serwera TrueConf do wersji, która nie jest podatna, oraz ograniczenie dostępu do portu 4307/TCP.
Inne podatności w TrueConf Server
Zobacz wszystkie- CVE-2026-72529KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może wykonać dowolny skrypt, wywołując nieudokumentowaną funkcję.
- CVE-2025-66823Średnie
Podatność na wstrzykiwanie HTML w serwerze TrueConf 5.5.2.10813 w polu opisu konferencji umożliwia atakującemu wstrzyknięcie dowolnego HTML w funkcji tworzenia/edycji konferencji. Ładunek jest wyzwalany, gdy ofiara otworzy stronę informacji o konferencji ([adres konferencji]/info).
- CVE-2025-66834Wysokie
Podatność CSV Formula Injection w TrueConf Server v5.5.2.10813 pozwala zwykłemu użytkownikowi na wstrzyknięcie złośliwych formuł arkusza kalkulacyjnego do eksportowanych logów czatu poprzez spreparowaną nazwę wyświetlaną.
- CVE-2025-66824Wysokie
Podatność Stored Cross-Site Scripting (XSS) w polu lokalizacji spotkania w funkcji Create/Edit Conference w TrueConf Server v5.5.2.10813. Wstrzyknięty payload jest przechowywany przez parametr meeting_room i wykonywany, gdy użytkownicy odwiedzają stronę Conference Info, co pozwala na pełne przejęcie konta (ATO).
- CVE-2017-20120Średnie
Znaleziono podatność sklasyfikowaną jako problematyczną w TrueConf Server 4.3.7. Dotyczy ona nieznanego kodu w pliku /admin/service/stop/. Manipulacja prowadzi do cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A remote unauthorized attacker with network access via port 4307/TCP to the TrueConf server versions 5.3.X to 5.3.9, 5.4.X to 5.4.9, 5.5.X to 5.5.5, and earlier could use a specially crafted script to break out of the isolated environment and execute arbitrary code on the host system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS