BDU:2026-04922

Опубликовано: 30 дек. 2025

Источник: fstec

CVSS3: 5.7

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость функции Create/Edit Conference программного обеспечения TrueConf Server связана с непринятием мер по защите структуры веб-страницы при обработке параметра meeting_room. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к аутентификационным данным

Вендор

ООО «Труконф»

Наименование ПО

TrueConf Server

Версия ПО

5.5.2.10813 (TrueConf Server)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,7)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

Обновление программного обеспечения до версии 5.5.3 или выше

https://trueconf.ru/blog/update/trueconf-server-5-5-3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-66824
CVE

EPSS

Процентиль: 18%

0.00261

Низкий

5.7 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2025-66824

CVSS3: 8.7

nvd

8 месяцев назад

A Stored Cross-Site Scripting (XSS) vulnerability exists in the Meeting location field of the Create/Edit Conference functionality in TrueConf Server v5.5.2.10813. The injected payload is stored via the meeting_room parameter and executed when users visit the Conference Info page, allowing attackers to achieve full Account Takeover (ATO). This issue is caused by improper sanitization of user-supplied input in the meeting_room field.

GHSA-wc9p-rvp2-mc4r

CVSS3: 7.3

github