Podatności TrueConf Server

6 znanych podatności CVE w TrueConf Server, przetłumaczonych i ocenionych.

CVE-2026-72530KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może użyć specjalnie spreparowanego skryptu, aby wydostać się z izolowanego środowiska i wykonać dowolny kod na systemie hosta.
CVE-2026-72529KrytyczneAktywnie exploitowane
Zdalny nieuwierzytelniony atakujący z dostępem sieciowym przez port 4307/TCP do serwera TrueConf w wersjach 5.3.X do 5.3.9, 5.4.X do 5.4.9, 5.5.X do 5.5.5 i wcześniejszych może wykonać dowolny skrypt, wywołując nieudokumentowaną funkcję.
CVE-2025-66823Średnie
Podatność na wstrzykiwanie HTML w serwerze TrueConf 5.5.2.10813 w polu opisu konferencji umożliwia atakującemu wstrzyknięcie dowolnego HTML w funkcji tworzenia/edycji konferencji. Ładunek jest wyzwalany, gdy ofiara otworzy stronę informacji o konferencji ([adres konferencji]/info).
CVE-2025-66834Wysokie
Podatność CSV Formula Injection w TrueConf Server v5.5.2.10813 pozwala zwykłemu użytkownikowi na wstrzyknięcie złośliwych formuł arkusza kalkulacyjnego do eksportowanych logów czatu poprzez spreparowaną nazwę wyświetlaną.
CVE-2025-66824Wysokie
Podatność Stored Cross-Site Scripting (XSS) w polu lokalizacji spotkania w funkcji Create/Edit Conference w TrueConf Server v5.5.2.10813. Wstrzyknięty payload jest przechowywany przez parametr meeting_room i wykonywany, gdy użytkownicy odwiedzają stronę Conference Info, co pozwala na pełne przejęcie konta (ATO).
CVE-2017-20120Średnie
Znaleziono podatność sklasyfikowaną jako problematyczną w TrueConf Server 4.3.7. Dotyczy ona nieznanego kodu w pliku /admin/service/stop/. Manipulacja prowadzi do cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty.