CVE-2025-64707
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Frappe Learning to system wspomagający strukturę treści. W wersjach od 2.0.0 do wersji przed 2.41.0 odebranie roli użytkownikowi przez administratora nie działało natychmiast z powodu buforowania. Problem naprawiono w wersji 2.41.0, zapewniając czyszczenie pamięci podręcznej po aktualizacji ról.
Ocena ryzyka
Użytkownik, któremu odebrano uprawnienia, może nadal korzystać z nich przez pewien czas z powodu nieaktualnego bufora, co stwarza ryzyko nieautoryzowanego dostępu. Może to naruszać polityki kontroli dostępu w organizacji.
Rekomendacja
Zaktualizuj Frappe Learning do wersji 2.41.0 lub nowszej. Do czasu aktualizacji po zmianie ról ręcznie czyść pamięć podręczną lub weryfikuj faktyczne uprawnienia użytkowników.
Inne podatności w Frappe Learning
Zobacz wszystkie- CVE-2025-64705Średnie
Frappe Learning to system do nauki, który pomaga użytkownikom strukturyzować treści. W wersjach od 2.0.0 do przed 2.41.0 użytkownicy mogli uzyskać dostęp do zgłoszeń (submissions) innych uczniów. Problem został naprawiony w wersji 2.41.0 poprzez zapewnienie odpowiednich ról i przekierowanie w przypadku dostępu przez bezpośredni URL.
- CVE-2025-62779Średnie
Frappe Learning w wersji 2.39.1 i wcześniejszych umożliwia użytkownikom dodawanie HTML przez pola wejściowe w formularzu pracy (Job Form). Może to prowadzić do wstrzykiwania złośliwego kodu HTML lub JavaScript.
- CVE-2025-62778Średnie
Frappe Learning, system zarządzania nauką, w wersji 2.39.1 i wcześniejszych ma problem bezpieczeństwa, gdzie uczniowie mogą uzyskać dostęp do formularza quizu, jeśli znają adres URL.
- CVE-2025-62158Średnie
Frappe Learning to system edukacyjny. W wersjach przed 2.38.0 system przechowywał załączniki przesłane przez uczniów w zadaniach jako pliki publiczne, co potencjalnie narażało te pliki na publiczny dostęp. Każdy znający URL pliku mógł uzyskać do niego dostęp bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
Frappe Learning is a learning system that helps users structure their content. Starting in version 2.0.0 and prior to version 2.41.0, when admins revoked a role from the user, the effect was not immediate because of caching. The issue has been fixed in version 2.41.0 by ensuring the cache is cleared after roles are updated.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS