CVE-2025-63317

ŚrednieCVSS 5.4

Opublikowano: 01/12/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Todoist v8896 jest podatny na Cross Site Scripting (XSS) w /api/v1/uploads. Przesyłane pliki SVG nie są sanityzowane, więc osadzony JavaScript wykonuje się, gdy użytkownik otworzy załącznik z zadania lub komentarza.

Ocena ryzyka

Atakujący może przesłać złośliwy plik SVG, który po otwarciu przez ofiarę wykona skrypt w jej przeglądarce, umożliwiając kradzież sesji lub wykonanie działań w kontekście aplikacji.

Rekomendacja

Wdrożyć sanityzację przesyłanych plików SVG lub blokować ich przesyłanie oraz serwować załączniki z bezpiecznymi nagłówkami. Zaktualizować aplikację do wersji zawierającej poprawkę.

Inne podatności w Todoist

CVE-2025-57292Średnie
Todoist v8484 zawiera podatność typu stored cross-site scripting (XSS) w funkcjonalności przesyłania awatara. Aplikacja nieprawidłowo waliduje typ MIME i nie sanityzuje metadanych obrazu.

Oryginalny opis (angielski, źródło NVD)

Todoist v8896 is vulnerable to Cross Site Scripting (XSS) in /api/v1/uploads. Uploaded SVG files have no sanitization applied, so embedded JavaScript executes when a user opens the attachment from a task/comment.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS