CVE-2025-63416
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W funkcji czatu platformy SelfBest 2023.3 występuje podatność Stored XSS. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wykonywać dowolny JavaScript w kontekście sesji innych użytkowników, co pozwala uzyskać dostęp do danych administracyjnych i funkcji, prowadząc do eskalacji uprawnień i pełnego kompromisu danych.
Ocena ryzyka
Atakujący może przejąć sesje innych użytkowników, w tym administratorów, i eksfiltrować wrażliwe dane, np. zawartość endpointu /admin/users.
Rekomendacja
Wdróż walidację i kodowanie danych wejściowych w funkcji czatu oraz aktualizuj SelfBest do wersji z poprawką; rozważ wdrożenie CSP.
Inne podatności w SelfBest
Zobacz wszystkie- CVE-2025-63418Średnie
Platforma SelfBest 2023.3 zawiera podatność DOM-based Cross-Site Scripting (XSS), która pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście sesji zalogowanego użytkownika poprzez wstrzyknięcie payloadu przez konsolę deweloperską przeglądarki. Podatność wynika z braku odpowiedniej sanityzacji po stronie klienta i braku Content Security Policy (CSP).
- CVE-2025-63417Wysokie
W funkcji czatu platformy SelfBest 2023.3 występuje podatność Stored XSS. Uwierzytelniony atakujący może wstrzyknąć dowolne skrypty lub HTML przez pole wiadomości czatu, które są przechowywane i wykonywane w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
** exclusively-hosted-service ** A Stored Cross-Site Scripting (XSS) vulnerability in the chat functionality of the SelfBest platform 2023.3 allows authenticated low-privileged attackers to execute arbitrary JavaScript in the context of other users' sessions. This can be exploited to access administrative data and functions, leading to privilege escalation and full compromise of sensitive user data, as demonstrated by the ability to fetch and exfiltrate the contents of the /admin/users endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS