CVE-2025-64325
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Emby Server przed wersją 4.8.1.0 i przed wersją Beta 4.9.0.0-beta pozwala złośliwemu użytkownikowi na wysłanie żądania uwierzytelnienia z manipulowaną wartością X-Emby-Client, która jest dodawana do sekcji urządzeń w panelu administracyjnym bez sanityzacji.
Ocena ryzyka
Ryzyko wstrzyknięcia złośliwej treści do panelu administracyjnego, co może prowadzić do ataków XSS lub innych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 4.8.1.0 lub Beta 4.9.0.0-beta, która zawiera poprawkę.
Inne podatności w Emby Server
Zobacz wszystkie- CVE-2021-25827Krytyczne
Emby Server w wersji poniżej 4.7.12.0 jest podatny na atak polegający na obejściu logowania poprzez ustawienie nagłówka X-Forwarded-For na lokalny adres IP.
- CVE-2023-33193Krytyczne
Podatność w Emby Server może umożliwić dostęp administracyjny do systemu, w zależności od ustawień kont użytkowników. Atakujący może zafałszować nagłówki, co pozwala na logowanie bez hasła lub przeglądanie listy kont użytkowników bez skonfigurowanego hasła.
- CVE-2021-25828Średnie
Emby Server w wersjach < 4.6.0.50 jest podatny na podatność Cross Site Scripting (XSS) poprzez spreparowane żądanie GET do /web. Podatność może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu.
Oryginalny opis (angielski, źródło NVD)
Emby Server is a personal media server. Prior to version 4.8.1.0 and prior to Beta version 4.9.0.0-beta, a malicious user can send an authentication request with a manipulated X-Emby-Client value, which gets added to the devices section of the admin dashboard without sanitization. This issue has been patched in version 4.8.1.0 and Beta version 4.9.0.0-beta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS