CVE-2025-10253
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W openDCIM 23.04 wykryto podatność w nieznanym kodzie pliku /scripts/uploadifive.php w komponencie SVG File Handler. Manipulacja argumentem Filedata prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca nie odpowiedział.
Ocena ryzyka
Możliwe jest wykonanie złośliwego skryptu w przeglądarce użytkownika (XSS), co może prowadzić do kradzieży sesji lub działań w imieniu ofiary.
Rekomendacja
Ogranicz dostęp do funkcji przesyłania plików SVG i rozważ wdrożenie poprawek; do czasu ich dostępności stosuj walidację i sanityzację danych wejściowych.
Inne podatności w openDCIM
Zobacz wszystkie- CVE-2026-28517Krytyczne
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku report_network_map.php. Aplikacja pobiera parametr konfiguracyjny 'dot' z bazy danych i przekazuje go bezpośrednio do funkcji exec() bez walidacji lub sanityzacji.
- CVE-2026-28516Wysokie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie SQL w funkcji Config::UpdateParameter. Procedury install.php i container-install.php przekazują dane wejściowe użytkownika bezpośrednio do zapytań SQL bez użycia przygotowanych wyrażeń ani odpowiedniej sanityzacji. Uwierzytelniony użytkownik może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-28515Wysokie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto brak autoryzacji w plikach install.php i container-install.php. Instalator i procedura aktualizacji udostępniają funkcjonalność konfiguracji LDAP bez wymagania odpowiednich ról aplikacyjnych. Każdy uwierzytelniony użytkownik może uzyskać dostęp do tej funkcji, niezależnie od posiadanych uprawnień.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in openDCIM 23.04. This vulnerability affects unknown code of the file /scripts/uploadifive.php of the component SVG File Handler. Such manipulation of the argument Filedata leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS