CVE-2025-64781
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
GroupSession Free edition, byCloud i ZION przed wersją 5.7.1 mają ustawienie "Ograniczenie wyświetlania stron zewnętrznych" na "Nie ograniczaj" w konfiguracji początkowej. Dzięki tej konfiguracji użytkownik może zostać przekierowany na dowolną stronę internetową po otwarciu specjalnie spreparowanego URL-a.
Ocena ryzyka
Użytkownicy mogą zostać przekierowani na złośliwe strony, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub phishingu.
Rekomendacja
Zaktualizuj GroupSession do wersji 5.7.1 lub nowszej. Zmień domyślną konfigurację, aby ograniczyć wyświetlanie stron zewnętrznych, i poinformuj użytkowników o ryzyku klikania w nieznane linki.
Inne podatności w GroupSession
Zobacz wszystkie- CVE-2025-66284Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
- CVE-2025-65120Średnie
Podatność na odbity cross-site scripting (XSS) istnieje w GroupSession Free edition przed wersją 5.7.1, GroupSession byCloud przed wersją 5.7.1 oraz GroupSession ZION przed wersją 5.7.1. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-62192Średnie
Podatność na SQL Injection istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli zostanie wykorzystana, uwierzytelniony użytkownik może uzyskać lub zmodyfikować informacje przechowywane w bazie danych.
- CVE-2025-61987Średnie
GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2 nie walidują pochodzenia (origin) w WebSockets. Jeśli użytkownik odwiedzi spreparowaną stronę, informacje z czatu wysyłane do użytkownika mogą zostać ujawnione.
- CVE-2025-61950Średnie
W GroupSession, okólnik może być utworzony z polem memo nieedytowalnym, ale kontrola autoryzacji jest nieprawidłowo zaimplementowana. Przy użyciu spreparowanego żądania, zalogowany użytkownik może zmienić pole memo. Dotknięte produkty i wersje to GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2.
- CVE-2025-58576Średnie
Podatność na Cross-site request forgery istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli użytkownik odwiedzi złośliwą stronę będąc zalogowanym, mogą zostać wykonane nieautoryzowane operacje.
- CVE-2025-57883Średnie
Podatność na odzwierciedlony atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-54407Średnie
Podatność na trwały atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.
- CVE-2025-53523Średnie
Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.
Oryginalny opis (angielski, źródło NVD)
In GroupSession Free edition prior to ver5.7.1, GroupSession byCloud prior to ver5.7.1, and GroupSession ZION prior to ver5.7.1, "External page display restriction" is set to "Do not limit" in the initial configuration. With this configuration, the user may be redirected to an arbitrary website when accessing a specially crafted URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS