CVE-2025-63418

ŚrednieCVSS 6.1

Opublikowano: 05/11/2025(UTC)Zaktualizowano: 27/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Platforma SelfBest 2023.3 zawiera podatność DOM-based Cross-Site Scripting (XSS), która pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście sesji zalogowanego użytkownika poprzez wstrzyknięcie payloadu przez konsolę deweloperską przeglądarki. Podatność wynika z braku odpowiedniej sanityzacji po stronie klienta i braku Content Security Policy (CSP).

Ocena ryzyka

Może to prowadzić do przejęcia konta i kradzieży danych zalogowanego użytkownika.

Rekomendacja

Wdróż odpowiednią sanityzację danych po stronie klienta oraz Content Security Policy (CSP), a także zaktualizuj platformę do wersji zawierającej poprawkę.

Inne podatności w SelfBest

CVE-2025-63417Wysokie
W funkcji czatu platformy SelfBest 2023.3 występuje podatność Stored XSS. Uwierzytelniony atakujący może wstrzyknąć dowolne skrypty lub HTML przez pole wiadomości czatu, które są przechowywane i wykonywane w przeglądarkach innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

A DOM-based Cross-Site Scripting (XSS) vulnerability in the SelfBest platform 2023.3 allows attackers to execute arbitrary JavaScript in the context of a logged-in user's session by injecting payloads via the browser's developer console. The vulnerability arises from the application's client-side code being susceptible to direct DOM manipulation without adequate sanitization or a Content Security Policy (CSP), potentially leading to account takeover and data theft.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS