CVE-2025-14714

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2025-14714
An Authentication Bypass vulnerability existed where the application bundled an interpreter (Python) that inherits the Transparency, Consent, and Control (TCC) permissions granted by the user to the main application bundle By executing the bundled interpreter directly the attacker's scripts run with the application's TCC privileges In fixed versions parent-constraints are used to allow only the main application to launch interpreter with those permissions This issue affects LibreOffice on macOS: from 25.2 before < 25.2.4.

6.5 /10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 2.0 / Impact : 4.0

Attack Vector LOCAL

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact NONE

Availability Impact NONE

Scope CHANGED

References
Link Resource
https://www.libreoffice.org/about-us/security/advisories/cve-2025-14714 Vendor Advisory
Configurations

Configuration 1 (hide)

AND
cpe:2.3:a:libreoffice:libreoffice:*:*:*:*:*:*:*:*
cpe:2.3:o:apple:macos:-:*:*:*:*:*:*:*
History

23 Oct 2026, 22:10

Type Values Removed Values Added
Summary (es) Una vulnerabilidad de omisión de autenticación existía donde la aplicación incluía un intérprete (Python) que hereda los permisos de Transparencia, Consentimiento y Control (TCC) otorgados por el usuario al paquete principal de la aplicación. Al ejecutar el intérprete incluido directamente, los scripts del atacante se ejecutan con los privilegios TCC de la aplicación. En las versiones corregidas, se utilizan restricciones parentales para permitir que solo la aplicación principal inicie el intérprete con esos permisos. Este problema afecta a LibreOffice en macOS: desde 25.2 antes de < 25.2.4. (es) Una vulnerabilidad de omisión de autenticación existía donde la aplicación incluía un intérprete (Python) que hereda los permisos de Transparencia, Consentimiento y Control (TCC) otorgados por el usuario al paquete principal de la aplicación. Al ejecutar el intérprete incluido directamente, los scripts del atacante se ejecutan con los privilegios TCC de la aplicación. En las versiones corregidas, se utilizan restricciones parentales para permitir que solo la aplicación principal inicie el intérprete con esos permisos. Este problema afecta a LibreOffice en macOS: desde 25.2 antes de anterior a 25.2.4.

07 Oct 2026, 19:10

Type Values Removed Values Added
Summary
  • (es) Una vulnerabilidad de omisión de autenticación existía donde la aplicación incluía un intérprete (Python) que hereda los permisos de Transparencia, Consentimiento y Control (TCC) otorgados por el usuario al paquete principal de la aplicación. Al ejecutar el intérprete incluido directamente, los scripts del atacante se ejecutan con los privilegios TCC de la aplicación. En las versiones corregidas, se utilizan restricciones parentales para permitir que solo la aplicación principal inicie el intérprete con esos permisos. Este problema afecta a LibreOffice en macOS: desde 25.2 antes de < 25.2.4.
Information

Published : 2025-12-15 11:15

Updated : 2026-10-23 22:10

NVD link : CVE-2025-14714

Mitre link : CVE-2025-14714

CVE.ORG link : CVE-2025-14714

JSON object : View

Products Affected

libreoffice

  • libreoffice

apple

  • macos
CWE
CWE-288

Authentication Bypass Using an Alternate Path or Channel