anchore_overrides,nvd
Romm.app
Уязвимости
5
Эксплуатируемые
0
Критический
1
Высокий
3
Топ продуктов
Топ уязвимостей
CVE-2025-54071RomM (ROM Manager) позволяет пользователям сканировать, обогащать, просматривать и воспроизводить свои игровые коллекции с помощью чистого и отзывчивого интерфейса. В версиях 4.0.0-beta.3 и ниже существует уязвимость произвольной записи файлов у аутентифицированных пользователей в конечной точке /api/saves, что может привести к выполнению произвольного кода в системе. Уязвимость позволяет злоумышленникам создавать или изменять файлы в любой файловой системе с содержимым, предоставленным пользователем. Для прохождения проверки подлинности требуется пользователь с ролью наблюдателя или разрешением Scope.ASSETS_WRITE или выше. Уязвимость исправлена в версии 4.0.0-beta.4 [1].
Источники:
- [1] https://github.com/rommapp/romm/security/advisories/GHSA-fgxf-hggc-qqmq
- [2] https://github.com/rommapp/romm/commit/89248d03805e5fabca78443dd202ff32e0b4d9f3
CVE-2025-53908RomM - это самодостаточный менеджер и игрок ROM. В версиях до 3.10.3 и 4.0.0-beta.3 существует уязвимость аутентифицированного path traversal в эндпоинте `/api/raw`. Любой, кто использует последнюю версию RomM и имеет несколько пользователей, даже непривилегированных, может быть затронут. Это позволяет раскрыть пароли и пользователей, которые могут храниться в системе [1].
Источники:
- [1] https://github.com/rommapp/romm/security/advisories/GHSA-fx9g-xw4j-jwc3
CVE-2025-65027RomM (ROM Manager) позволяет пользователям сканировать, обогащать, просматривать и воспроизводить свои игровых коллекций с чистым и отзывчивым интерфейсом. RomM содержит несколько неограниченной загрузки файлов, которые позволяют аутентифицированным пользователям загружать вредоносные SVG или HTML-файлы. Когда эти файлы доступны, браузер выполняет встроенный JavaScript, что приводит к хранению Cross-Site Scripting (XSS), который в сочетании с неправильной конфигурацией CSRF приводит к достижению полного административного захвата учетной записи, созданию мошеннической учетной записи администратора, увеличению роли учетной записи злоумышленника до администратора и многое другое. Эта уязвимость зафиксирована в пунктах 4.4.1 и 4.4.1-beta.2.
CVE-2025-65097RomM (ROM Manager) позволяет пользователям сканировать, обогащать, просматривать и воспроизводить свои игровые коллекции с чистым и отзывчивым интерфейсом. До 4.4.1 и 4.4.1-beta.2 Аутентичный пользователь может удалить коллекции, принадлежащие другим пользователям, напрямую отправив запрос DELETE на конечная точка сбора. Проверка собственности не проводится до удаления коллекций. Эта уязвимость зафиксирована в пунктах 4.4.1 и 4.4.1-beta.2.
CVE-2025-65096RomM (ROM Manager) позволяет пользователям сканировать, обогащать, просматривать и воспроизводить свои игровые коллекции с чистым и отзывчивым интерфейсом. До 4.4.1 и 4.4.1-beta.2 пользователи могут читать частные коллекции / умные коллекции, принадлежащие другим пользователям, напрямую посещая свои идентификаторы через API. Никакой проверки собственности или проверки того, является ли сбор государственным/частным, прежде чем возвращать данные о сборе. Эта уязвимость зафиксирована в пунктах 4.4.1 и 4.4.1-beta.2.