CVE-2025-62709
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W ClipBucket w wersji 5.5.2 zmiana w pliku network.class.php powoduje dynamiczne budowanie adresu URL serwera na podstawie nagłówka HTTP Host, gdy nie ustawiono base_url. Atakujący może podać dowolną wartość nagłówka Host, przez co linki resetowania hasła generowane przez forget.php wskazują na domenę atakującego. Jeśli ofiara kliknie taki link i poda kod aktywacyjny na domenie atakującego, atakujący przechwyci kod i przejmie konto.
Ocena ryzyka
Możliwe przejęcie kont użytkowników poprzez przechwycenie kodów resetowania hasła, co prowadzi do nieautoryzowanego dostępu do platformy. Wystarczy, że ofiara kliknie spreparowany link.
Rekomendacja
Zaktualizuj ClipBucket do wersji 5.5.2#162 lub nowszej oraz ustaw jawnie parametr base_url w konfiguracji, aby uniezależnić generowane linki od nagłówka Host.
Inne podatności w ClipBucket
Zobacz wszystkie- CVE-2026-102570Średnie
ClipBucket v5 do 5.5.3-#197 zawiera podatność na ślepą iniekcję SQL opartą na czasie w funkcji aktualizacji języka, gdzie parametr language_id jest konkatenowany bez escapowania do klauzuli WHERE w zapytaniu UPDATE. Uwierzytelniony administrator z uprawnieniami basic_settings może wstrzyknąć dowolne zapytania SQL w celu wyodrębnienia lub modyfikacji zawartości bazy danych.
- CVE-2012-6643Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.
- CVE-2026-80138Krytyczne
Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.
- CVE-2026-42846Krytyczne
ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.
- CVE-2026-21875Krytyczne
ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.
- CVE-2025-67418Krytyczne
ClipBucket 5.5.2 zawiera domyślne, zakodowane na stałe dane uwierzytelniające administratora. Niezalogowany atakujący zdalny może zalogować się do panelu administracyjnego, uzyskując pełną kontrolę nad aplikacją.
- CVE-2025-64338Krytyczne
ClipBucket v5 w wersjach 5.5.2 - #156 i niższych pozwala uwierzytelnionemu zwykłemu użytkownikowi na utworzenie kolekcji zdjęć, której nazwa zawiera ładunki HTML/JavaScript, co czyni funkcję Manage Photos podatną na trwały XSS. Ładunek jest renderowany w interfejsie Admin → Manage Photos, co powoduje jego wykonanie w przeglądarce administratora, umożliwiając atakującemu działanie z podniesionymi uprawnieniami.
- CVE-2026-110627Średnie
ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/index.php, która pozwala atakującym wstrzyknąć HTML poprzez parametr val w mode=add_todo. Atakujący mogą zwabić zalogowanego administratora do przesłania formularza POST cross-site bez ochrony CSRF, wykonując skrypt w kontekście panelu administracyjnego.
- CVE-2026-110626Średnie
ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/language_settings.php poprzez niekodowany parametr GET edit_language. Atakujący mogą wysłać administratorom z uprawnieniami basic_settings spreparowany link, którego ładunek jest odzwierciedlany w ukrytym polu input, wykonując skrypt w kontekście panelu administracyjnego.
- CVE-2026-110625Średnie
ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/flagged_item.php poprzez niekodowany parametr GET type. Atakujący mogą wysłać spreparowane linki flagged_item.php?type= do zalogowanych administratorów lub moderatorów, aby wykonać wstrzyknięty skrypt w kontekście panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
ClipBucket v5 is an open source video sharing platform. In ClipBucket version 5.5.2, a change to network.class.php causes the application to dynamically build the server URL from the incoming HTTP Host header when the configuration base_url is not set. Because Host is a client-controlled header, an attacker can supply an arbitrary Host value. This allows an attacker to cause password-reset links (sent by forget.php) to be generated with the attacker’s domain. If a victim follows that link and enters their activation code on the attacker-controlled domain, the attacker can capture the code and use it to reset the victim’s password and take over the account. This issue has been patched in version 5.5.2#162.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS