CVE-2025-66911 in IM Server

Tóm tắt

Bởi VulDB • 20/06/2026

Turms IM Server v0.10.0-SNAPSHOT và các phiên bản trước đó chứa một lỗ hổng kiểm soát truy cập bị lỗi (broken access control) trong chức năng truy vấn trạng thái trực tuyến của người dùng. Phương thức `handleQueryUserOnlineStatusesRequest()` trong `UserServiceController.java` cho phép bất kỳ người dùng đã xác thực nào truy vấn trạng thái trực tuyến, thông tin thiết bị và dấu thời gian đăng nhập của các người dùng tùy ý mà không có các kiểm tra ủy quyền thích hợp.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: MITRE
• Đặt trước: 08/12/2025
• Tiết lộ: 19/12/2025
• Kiểm duyệt: được chấp nhận
• mục: VDB-337610
• CPE: sẵn sàng
• CWE: CWE-284 (Đã xác nhận)
• CVSS: 5.5 (VulDB)
• EPSS: 0.00291
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-66911
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-66911
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-66911/