CVE-2025-45091
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Seafile w wersjach 11.0.18-Pro, 12.0.10 i 12.0.10-Pro jest podatny na przechowywany atak Cross-Site Scripting (XSS). Uwierzytelniony atakujący może wykorzystać tę podatność, modyfikując swoją nazwę użytkownika w celu umieszczenia złośliwego ładunku XSS w powiadomieniach i aktywnościach.
Ocena ryzyka
Złośliwy skrypt może zostać wykonany w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub dalszych ataków w obrębie aplikacji. Organizacja może ponieść szkody wizerunkowe i utracić dane.
Rekomendacja
Należy zaktualizować Seafile do wersji zawierającej poprawkę (np. nowszej niż wymienione) lub zastosować dostępne obejścia. Zaleca się również wdrożenie mechanizmów walidacji i sanityzacji danych wejściowych oraz monitorowanie nietypowych zmian nazw użytkowników.
Inne podatności w Seafile
Zobacz wszystkie- CVE-2025-41080Średnie
W Seafile w wersji 12.0.10 wykryto podatność Stored XSS. Atakujący może zapisać złośliwe dane w parametrze POST 'p' w ścieżce '/api/v2.1/repos/{repo_id}/file/', co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
- CVE-2025-41079Średnie
W Seafile w wersji 12.0.10 wykryto podatność Stored XSS. Atakujący może zapisać złośliwe dane w parametrze PUT 'name' w ścieżce '/api/v2.1/user/', co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Seafile versions 11.0.18-Pro, 12.0.10, and 12.0.10-Pro are vulnerable to a stored Cross-Site Scripting (XSS) attack. An authenticated attacker can exploit this vulnerability by modifying their username to include a malicious XSS payload in notification and activities.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS