CVE-2025-63417
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W funkcji czatu platformy SelfBest 2023.3 występuje podatność Stored XSS. Uwierzytelniony atakujący może wstrzyknąć dowolne skrypty lub HTML przez pole wiadomości czatu, które są przechowywane i wykonywane w przeglądarkach innych użytkowników.
Ocena ryzyka
Może prowadzić do przejęcia sesji, przejęcia konta lub innych ataków po stronie klienta na użytkowników przeglądających złośliwą wiadomość. Wymaga uwierzytelnienia atakującego.
Rekomendacja
Zaktualizuj platformę do wersji z poprawką lub wdróż sanityzację i kodowanie danych wejściowych czatu. Rozważ wdrożenie nagłówków Content-Security-Policy.
Inne podatności w SelfBest
Zobacz wszystkie- CVE-2025-63416Krytyczne
W funkcji czatu platformy SelfBest 2023.3 występuje podatność Stored XSS. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wykonywać dowolny JavaScript w kontekście sesji innych użytkowników, co pozwala uzyskać dostęp do danych administracyjnych i funkcji, prowadząc do eskalacji uprawnień i pełnego kompromisu danych.
- CVE-2025-63418Średnie
Platforma SelfBest 2023.3 zawiera podatność DOM-based Cross-Site Scripting (XSS), która pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście sesji zalogowanego użytkownika poprzez wstrzyknięcie payloadu przez konsolę deweloperską przeglądarki. Podatność wynika z braku odpowiedniej sanityzacji po stronie klienta i braku Content Security Policy (CSP).
Oryginalny opis (angielski, źródło NVD)
A Stored Cross-Site Scripting (XSS) vulnerability in the chat functionality of the SelfBest platform 2023.3 allows authenticated attackers to inject arbitrary web scripts or HTML via the chat message input field. This malicious content is stored and then executed in the context of other users' browsers when they view the malicious message, potentially leading to session hijacking, account takeover, or other client-side attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS