CVE-2025-62523

PILOS (Platform for Interactive Live-Online Seminars), BigBlueButton üçün frontend-dir. 4.8.0 versiyasından əvvəlki PILOS-da middleware hissəsində Cross-Origin Resource Sharing (CORS) yanlış konfiqurasiyası mövcuddur: sistem Origin sorğu başlığını düzgün təsdiqləmədən və ya ağ siyahıdan istifadə etmədən Access-Control-Allow-Origin cavab başlığında geri qaytarır, eyni zamanda Access-Control-Allow-Credentials dəyəri true olaraq təyin edilmişdir. Bu davranış fərqli mənşəli zərərli veb sayta PILOS API-na sorğular (kimlik məlumatları daxil olmaqla) göndərməyə imkan verə bilər. Əgər server bu çarpaz mənşəli sorğuları autentifikasiya olunmuş kimi qəbul edərsə, bu, qurbanın kimlik məlumatlarından istifadə edərək məlumat sızdırılmasına və ya müvəyyən hərəkətlərin yerinə yetirilməsinə şərait yarada bilər. Laravel-in sessiya idarəetməsi əlavə mənşə yoxlamaları tətbiq etdiyi üçün çarpaz mənşəli sorğular standart olaraq autentifikasiya edilmir. Sessiya-mənşə qorumaları səbəbindən və Laravel-in mənşə/sessiya yoxlamalarını yan keçə biləcək digər naməlum boşluqların olmaması halında, bu əks olunmuş-Origin CORS yanlış konfiqurasiyasının tipik PILOS quraşdırmalarında istismar edilə biləcəyina inanılmır. Bu boşluq PILOS v4.8.0 versiyasında aradan qaldırılmışdır.