CVE-2025-32898
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Protokół kodu weryfikacyjnego KDE Connect przed 2025-04-18 używa tylko 8 znaków, co umożliwia ataki brute-force. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.
Ocena ryzyka
Ryzyko polega na możliwości przełamania weryfikacji połączenia przez atakującego, co może prowadzić do nieautoryzowanego dostępu do urządzeń i danych użytkownika.
Rekomendacja
Zaleca się aktualizację wszystkich dotkniętych komponentów (KDE Connect, Valent, GSConnect) do najnowszych wersji, które zawierają poprawkę zwiększającą długość kodu weryfikacyjnego.
Inne podatności w KDE Connect
Zobacz wszystkie- CVE-2025-66270Średnie
Protokół KDE Connect w wersji 8 przed 2025-11-28 nie koreluje identyfikatorów urządzeń między dwoma pakietami. Podatność dotyczy KDE Connect przed 25.12 na pulpicie, KDE Connect przed 0.5.4 na iOS, KDE Connect przed 1.34.4 na Androidzie, GSConnect przed 68 oraz Valent przed 1.0.0.alpha.49.
- CVE-2025-32900Średnie
W protokole wymiany informacji KDE Connect przed 2025-04-18 można spreparować pakiet, aby tymczasowo zmienić wyświetlane informacje o urządzeniu, ponieważ używany jest broadcast UDP. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.
Oryginalny opis (angielski, źródło NVD)
The KDE Connect verification-code protocol before 2025-04-18 uses only 8 characters and therefore allows brute-force attacks. This affects KDE Connect before 1.33.0 on Android, KDE Connect before 25.04 on desktop, KDE Connect before 0.5 on iOS, Valent before 1.0.0.alpha.47, and GSConnect before 59.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS