CVE-2025-41079
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Seafile w wersji 12.0.10 wykryto podatność Stored XSS. Atakujący może zapisać złośliwe dane w parametrze PUT 'name' w ścieżce '/api/v2.1/user/', co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy instancji Seafile w wersji 12.0.10.
Rekomendacja
Zaktualizuj Seafile do wersji nowszej niż 12.0.10, jeśli dostępna jest poprawka. W międzyczasie ogranicz dostęp do API i wdróż walidację danych wejściowych.
Inne podatności w Seafile
Zobacz wszystkie- CVE-2025-41080Średnie
W Seafile w wersji 12.0.10 wykryto podatność Stored XSS. Atakujący może zapisać złośliwe dane w parametrze POST 'p' w ścieżce '/api/v2.1/repos/{repo_id}/file/', co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
- CVE-2025-45091Średnie
Seafile w wersjach 11.0.18-Pro, 12.0.10 i 12.0.10-Pro jest podatny na przechowywany atak Cross-Site Scripting (XSS). Uwierzytelniony atakujący może wykorzystać tę podatność, modyfikując swoją nazwę użytkownika w celu umieszczenia złośliwego ładunku XSS w powiadomieniach i aktywnościach.
Oryginalny opis (angielski, źródło NVD)
A stored Cross-Site Scripting (XSS) vulnerability has been found in Seafile v12.0.10. This vulnerability allows an attacker to execute arbitrary code in the victim's browser by storing malicious payloads with PUT parámetro 'name' in '/api/v2.1/user/'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS