CVE-2025-62793

ŚrednieCVSS 6.8

Opublikowano: 27/10/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

eLabFTW (wersje przed 5.3.0) serwował przesłane pliki SVG bezpośrednio w przeglądarce. Ponieważ SVG obsługuje aktywną treść, atakujący mógł przesłać spreparowany plik SVG wykonujący skrypt po wyświetleniu, co prowadzi do przechowywanego XSS w domenie aplikacji. Podatność naprawiono w wersji 5.3.0.

Ocena ryzyka

Ofiara otwierająca URL pliku SVG lub stronę go osadzającą może mieć przejętą sesję, wyciek danych lub wykonane działania w jej imieniu. Ryzyko dotyczy wszystkich użytkowników eLabFTW, którzy mogą przeglądać przesłane pliki.

Rekomendacja

Zaktualizuj eLabFTW do wersji 5.3.0 lub nowszej. Rozważ ograniczenie przesyłania plików SVG do zaufanych użytkowników.

Inne podatności w eLabFTW

CVE-2026-28511Średnie
W eLabFTW przed wersją 5.4.2, uwierzytelniony użytkownik wykonujący numeryczne wyszukiwanie może otrzymać wyniki zawierające zasoby, do których nie ma uprawnień. Ujawnione informacje są ograniczone do tytułów, ale mogą zawierać dane wrażliwe, takie jak nazwy projektów czy identyfikatory pacjentów.

Oryginalny opis (angielski, źródło NVD)

eLabFTW is an open source electronic lab notebook for research labs. The application served uploaded SVG files inline. Because SVG supports active content, an attacker could upload a crafted SVG that executes script when viewed, resulting in stored XSS under the application origin. A victim who opens the SVG URL or any page embedding it could have their session hijacked, data exfiltrated, or actions performed on their behalf. This vulnerability is fixed n 5.3.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS