Opis podatności
CERT Polska otrzymał zgłoszenie dotyczące podatności w oprogramowaniu ARKETEAM Protectel i uczestniczył w koordynacji procesu ich ujawnienia.
Podatność CVE-2025-68391: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel zawierają podatność typu arbitrary file upload. Każdy użytkownik może przesłać dowolny plik oraz nadpisać istniejące pliki w folderze tymczasowym. Podatność ta może prowadzić do wykonania osadzonego kodu JavaScript, gdy uwierzytelniony użytkownik podejmie próbę pobrania przesłanego pliku.
Podatność CVE-2025-68392: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel umożliwiają użytkownikom o niskich uprawnieniach korzystanie z niektórych funkcjonalności zarezerwowanych dla administratorów poprzez tworzenie bezpośrednich żądań do konkretnego endpointu.
Podatność CVE-2025-68393: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel są podatne na SQL Injection. Nieprawidłowa neutralizacja danych wejściowych dostarczanych przez użytkownika o niskich uprawnieniach do parametru Utilisateur umożliwia przeprowadzenie ataków typu SQL Injection.
Podatność CVE-2025-68394: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel są podatne na SQL Injection. Nieprawidłowa neutralizacja danych wejściowych przekazywanych przez użytkownika o niskich uprawnieniach w parametrze profilInput umożliwia przeprowadzenie ataków typu SQL Injection.
Podatność CVE-2025-68395: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel zawierają edytor notatek podatny na Stored XSS. Atakujący z niskimi uprawnieniami może wstrzyknąć dowolny kod HTML i JS do notatek, który zostanie renderowany/wykonany, gdy użytkownik odwiedzi ten moduł.
Te podatności zostały usunięte w wersjach: PROTECTELMAJ v6.5.19 i BDF v6.4.67
Podziękowania
Za zgłoszenie podatności dziękujemy Karolowi Miringowi.
