CVE-2025-48369 in groupoffice
Zusammenfassung
von VulDB • 28.06.2026
Group-Office ist ein Enterprise-CRM- und Groupware-Tool. Vor den Versionen 6.8.119 und 25.0.20 besteht in der Aufgabenkommentarfunktion von Groupoffice eine persistente Cross-Site Scripting (XSS)-Schwachstelle, die es Angreifern ermöglicht, beliebiges JavaScript auszuführen, indem sie eine Datei mit einem manipulierten Dateinamen hochladen. Wenn Administratoren oder andere Benutzer die Aufgabe anzeigen, die diese schädliche Datei enthält, wird das Payload im Browserkontext des Benutzers ausgeführt. Die Anwendung führt keine Sanitisierung der Bilddateinamen durch, bevor diese in den Kommentaren gerendert werden. Durch das Hochladen eines Bildes mit einem manipulierten Dateinamen, das XSS-Payloads enthält, können Angreifer sensible Informationen stehlen. In den Versionen 6.8.119 und 25.0.20 ist ein Fix für dieses Problem enthalten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.