Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu SOPlanning i koordynował proces ujawniania informacji.
Podatność CVE-2025-62293: SOPlanning z powodu braku kontroli uprawnień w funkcjonalności Project Status pozwala każdemu uwierzytelnionemu atakującemu dodawać, edytować i usuwać dowolne statusy poprzez endpoint /status.
Podatność CVE-2025-62294: SOPlanning wykorzystuje słaby mechanizm generowania tokenów odzyskiwania hasła. Atakujący może przeprowadzić atak brute-force na wszystkie możliwe wartości i przejąć dowolne konto w rozsądnym czasie.
Podatność CVE-2025-62295: SOPlanning jest podatny na Stored XSS w endpoincie /groupe_form. Atakujący z średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JS do witryny, który zostanie wyrenderowany/wykonany podczas otwierania edytora.
Podatność CVE-2025-62296: SOPlanning jest podatny na Stored XSS w endpoincie /taches. Atakujący z średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JS do witryny, który zostanie wyrenderowany/wykonany podczas otwierania edytora.
Podatność CVE-2025-62297: SOPlanning jest podatny na Stored XSS w endpoincie /projets. Atakujący z średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JS do witryny, który zostanie wyrenderowany/wykonany podczas otwierania dowolnej strony.
Podatność CVE-2025-62729: SOPlanning jest podatny na Stored XSS w endpoincie /status. Atakujący z średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JS do witryny, który zostanie wyrenderowany/wykonany podczas otwierania wielu stron.
Podatność CVE-2025-62730: W SOPlanning użytkownicy z rolą user_manage_team mogą modyfikować uprawnienia użytkowników. Są w stanie przypisać uprawnienia administracyjne dowolnemu użytkownikowi, w tym sobie. Pozwala to atakującemu z tą rolą na eskalację do uprawnień administratora. Problem dotyczy zarówno funkcjonalności masowej aktualizacji, jak i zwykłej edycji praw i uprawnień użytkownika.
Podatność CVE-2025-62731: SOPlanning jest podatny na Stored XSS w endpoincie /feries. Atakujący z dostępem do funkcji Public Holidays może wstrzyknąć dowolny kod HTML i JS do witryny, który zostanie wyrenderowany/wykonany podczas otwierania wielu stron. Domyślnie tylko administratorzy i użytkownicy ze specjalnymi uprawnieniami mają dostęp do tego endpointu.
Te podatności zostały usunięte w wersji 1.55.
Podziękowania
Za zgłoszenie podatności dziękujemy Łukaszowi Jaworskiemu z Pentest Limited.
