CVE-2025-60645

ŚrednieCVSS 6.5

Opublikowano: 12/11/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W xxl-api v1.3.0 występuje podatność Cross-Site Request Forgery (CSRF), która pozwala atakującym dowolnie dodawać użytkowników do modułu zarządzania za pomocą spreparowanego żądania GET.

Ocena ryzyka

Atakujący może zmusić zalogowanego administratora do nieświadomego dodania nieautoryzowanych kont. Prowadzi to do eskalacji uprawnień i przejęcia kontroli nad systemem.

Rekomendacja

Zaktualizuj xxl-api do wersji zawierającej poprawkę lub wdróż mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF i weryfikacja pochodzenia żądań. Unikaj wykonywania operacji zmieniających stan przez żądania GET.

Inne podatności w xxl-api

CVE-2025-60646Średnie
W module Business Line Management w Xxl-api v1.3.0 występuje podatność stored cross-site scripting (XSS), umożliwiająca wykonanie dowolnych skryptów lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru Name.

Oryginalny opis (angielski, źródło NVD)

A Cross-Site Request Forgery (CSRF) in xxl-api v1.3.0 allows attackers to arbitrarily add users to the management module via a crafted GET request.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS