Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2025-64187

OctoPrint is vulnerable to XSS through Action Command Notifications and Prompts

Публикация: 07.11.2025·Обновлена: 07.07.2026, 20:57·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

OctoPrint provides a web interface for controlling consumer 3D printers. Versions 1.11.3 and below are affected by a vulnerability that allows injection of arbitrary HTML and JavaScript into Action Command notifications and prompts popups generated by the printer. An attacker who successfully convinces a victim to print a specially crafted file could exploit this issue to disrupt ongoing prints, extract information (including sensitive configuration settings, if the targeted user has the necessary permissions for that), or perform other actions on behalf of the targeted user within the OctoPrint instance. This issue is fixed in version 1.11.4.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

OctoPrint / OctoPrint 

{
  "status": "affected",
  "version": "< 1.11.4"
}

octoprint PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "1.11.4"
}

CVSS: оценки и векторы

CVSS 4.0 · cve4.6
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:L/SC:L/SI:L/SA:N
AV · Вектор атакилокальный доступ
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиине нужны
UI · Участие пользователяактивное
VC · Конфиденциальность уязвимой системынизкое
VI · Целостность уязвимой системынизкое
VA · Доступность уязвимой системынизкое
SC · Конфиденциальность связанной системынизкое
SI · Целостность связанной системынизкое
SA · Доступность связанной системынет

Классы CWE

CWE-80 · Неправильная нейтрализация связанных со сценарием HTML-тегов на веб-странице

Источники и ссылки

Материал · github.com · cveМатериал · github.com · cveМатериал · nvd.nist.gov · osvМатериал · github.com · osvМатериал · pypi.org · osvМатериал · github.com · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:11:31.688195+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T12:49:45.109725+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T12:49:45.109725+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T12:49:45.109725+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:11:31.688195+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T12:49:45.109725+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:11
  2. Данные обновлены05.11.2026, 00:12
  3. Данные обновлены04.11.2026, 00:10
  4. Данные обновлены03.11.2026, 00:10
  5. Данные обновлены02.11.2026, 15:10
  6. Данные обновлены02.11.2026, 13:40
  7. Данные обновлены02.11.2026, 00:09
  8. Данные обновлены31.10.2026, 11:56
  9. Данные обновлены30.10.2026, 15:02
  10. Данные обновлены28.10.2026, 18:05
  11. Опубликована28.10.2026, 15:49

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2024-23637
OctoPrint Unverified Password Change via Access Control Settings
OctoPrint / OctoPrint · octoprint
Средний4.2
0,52 %
Патч
31.01.2024
CVE-2026-54134
OctoPrint: File exfiltration possible via query parameters on upload endpoints
OctoPrint / OctoPrint · octoprint
Высокий7.0
0,32 %
21.08.2026
CVE-2026-35163
OctoPrint: XSS in Suppressed Command Notifications
OctoPrint / OctoPrint · octoprint
Средний4.6
0,2 %
21.08.2026
CVE-2025-48879
OctoPrint Vulnerable to Denial of Service through malformed HTTP request
OctoPrint / OctoPrint · octoprint
Средний6.5
0,26 %
10.06.2025
CVE-2026-23892
OctoPrint has Timing Side-Channel Vulnerability in API Key Authentication
OctoPrint / OctoPrint · octoprint
Средний6.0
0,43 %
27.01.2026