CVE-2025-12546
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
LogicalDOC Community Edition do wersji 9.2.1 zawiera podatność na cross-site scripting (XSS) w interfejsie tworzenia kluczy API. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków na użytkowników systemu.
Rekomendacja
Zaktualizuj LogicalDOC do wersji, która zawiera poprawkę. Ogranicz dostęp do interfejsu tworzenia kluczy API i monitoruj aktywność.
Inne podatności w LogicalDOC Community Edition
Zobacz wszystkie- CVE-2017-1000022Wysokie
LogicalDoc Community Edition w wersji 7.5.3 i wcześniejszych zawiera błędne zarządzanie dostępem, co może prowadzić do eskalacji uprawnień.
- CVE-2017-1000021Wysokie
LogicalDoc Community Edition w wersji 7.5.3 i wcześniejszych jest podatny na atak XXE podczas indeksowania dokumentów XML.
- CVE-2026-109205Wysokie
LogicalDOC Community Edition do wersji 9.3 zawiera podatność nieuwierzytelnionego przesyłania plików w UploadServlet, która pozwala zdalnym atakującym zapisywać pliki na dysku bez sesji. Atakujący mogą wielokrotnie wysyłać żądania multipart z nieograniczoną liczbą części do /upload, utrwalając pliki w nieczyszczonych katalogach tymczasowych i wyczerpując miejsce na dysku serwera.
- CVE-2026-109201Wysokie
LogicalDOC Community Edition do wersji 9.3 zawiera podatność braku autoryzacji w operacjach SoapDocumentService, która pozwala uwierzytelnionym użytkownikom na dostęp i modyfikację nieautoryzowanych dokumentów. Atakujący mogą wywoływać operacje copy, getExtractedText, deleteVersion, reindex, deleteLink lub restore przez SOAP lub /services/rest/document z sekwencyjnymi identyfikatorami dokumentów, aby ujawnić, usunąć lub zmodyfikować dokumenty.
- CVE-2026-109199Wysokie
LogicalDOC Community Edition do wersji 9.3 zawiera podatność wstrzyknięcia kodu, która pozwala uwierzytelnionym użytkownikom na wykonanie poleceń systemu operacyjnego poprzez przesyłanie szablonów Velocity w polach subject lub message usługi DocumentService.sendAsEmail. Atakujący mogą wywoływać metody exec SystemTool lub ClassTool, omijając listę zabronionych forbidRuntimeUsage, aby uruchamiać polecenia z uprawnieniami procesu LogicalDOC.
- CVE-2025-11946Niskie
W LogicalDOC Community Edition do wersji 9.2.1 wykryto lukę w pliku /frontend.jsp w komponencie Add Contact Page. Manipulacja argumentami First Name/Last Name/Company/Address/Phone/Mobile prowadzi do cross site scripting, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in LogicalDOC Community Edition up to 9.2.1. This affects an unknown part of the component API Key creation UI. This manipulation causes cross site scripting. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS