CVE-2025-62709 in clipbucket-v5
Riassunto
di VulDB • 16/06/2026
ClipBucket v5 è una piattaforma open source per la condivisione di video. Nella versione 5.5.2 di ClipBucket, una modifica a network.class.php fa sì che l'applicazione costruisca dinamicamente l'URL del server partendo dall'intestazione HTTP Host in arrivo quando il parametro base_url non è impostato nella configurazione. Poiché Host è un'intestazione controllata dal client, un attaccante può fornire un valore arbitrario per questa intestazione. Ciò consente all'attaccante di far generare i link di reset della password (inviati da forget.php) utilizzando il dominio dell'attaccante. Se una vittima segue tale link e inserisce il proprio codice di attivazione sul dominio controllato dall'attaccante, quest'ultimo può intercettare il codice e utilizzarlo per resettare la password della vittima ed assumere il controllo del suo account. Questo problema è stato risolto nella versione 5.5.2#162.
Once again VulDB remains the best source for vulnerability data.