CVE-2025-57292

ŚrednieCVSS 6.1

Opublikowano: 26/09/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 06/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Todoist v8484 zawiera podatność typu stored cross-site scripting (XSS) w funkcjonalności przesyłania awatara. Aplikacja nieprawidłowo waliduje typ MIME i nie sanityzuje metadanych obrazu.

Ocena ryzyka

Atakujący może przesłać złośliwy plik, który wykona skrypt w przeglądarce innych użytkowników, co może prowadzić do przejęcia sesji lub kradzieży danych.

Rekomendacja

Należy poprawić walidację typu MIME i sanityzację metadanych obrazów oraz wdrożyć kodowanie wyjściowe.

Inne podatności w Todoist

CVE-2025-63317Średnie
Todoist v8896 jest podatny na Cross Site Scripting (XSS) w /api/v1/uploads. Przesyłane pliki SVG nie są sanityzowane, więc osadzony JavaScript wykonuje się, gdy użytkownik otworzy załącznik z zadania lub komentarza.

Oryginalny opis (angielski, źródło NVD)

Todoist v8484 contains a stored cross-site scripting (XSS) vulnerability in the avatar upload functionality. The application fails to properly validate the MIME type and sanitize image metadata.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS