CVE-2025-55343
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Quipux w wersji 4.0.1 do e1774ac pozwala uwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection poprzez wiele parametrów w różnych plikach PHP, m.in. busqueda/busqueda.php, anexos_lista.php, Administracion/listas/*.php, asociar_documentos/*.php, radicacion/*.php, reportes/reporte_TraspasoDocFisico.php, tx/*.php oraz uploadFiles/cargar_doc_digitalizado_paginador.php.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane z bazy danych, a w niektórych przypadkach wykonać polecenia systemowe, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Quipux do wersji zawierającej poprawki (powyżej e1774ac) lub zastosuj poprawki bezpieczeństwa. Wdroż zasadę minimalnych uprawnień dla kont użytkowników.
Inne podatności w Quipux
Zobacz wszystkie- CVE-2025-55342Średnie
Quipux 4.0.1 do wersji e1774ac pozwala na enumerację nazw użytkowników oraz dostęp do ekwadorskiego numeru identyfikacyjnego wszystkich zarejestrowanych użytkowników poprzez parametr txt_login w Administracion/usuarios/cambiar_password_olvido_validar.php.
- CVE-2025-55341Średnie
W Quipux 4.0.1 do wersji e1774ac występuje podatność Cross Site Scripting (XSS) w pliku anexos/anexos_nuevo.php, związana z parametrem asocImgRad. Podatność pozwala na wstrzyknięcie złośliwego skryptu, który może zostać wykonany w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
Quipux 4.0.1 through e1774ac allows authenticated users to conduct SQL injection attacks via busqueda/busqueda.php txt_depe_codi, busqueda/busqueda.php txt_usua_codi, anexos_lista.php radi_temp, Administracion/listas/formArea_ajax.php codDepe, Administracion/listas/formDepeHijo_ajax.php codDepe, Administracion/listas/formDepePadre_ajax.php codInst, asociar_documentos/asociar_borrar_referencia.php radi_nume, asociar_documentos/asociar_documento_buscar_query.php radi_nume, asociar_documentos/asociar_documento_grabar.php txt_radi_nume, asociar_documentos/asociar_documento radi_nume, radicacion/buscar_usuario.php buscar_tipo, radicacion/formArea_ajax.php codDepe, radicacion/formDepeHijo_ajax.php codDepe, radicacion/formDepePadre_ajax.php codInst, radicacion/ver_datos_usuario.php destinatorio, reportes/reporte_TraspasoDocFisico.php verrad, tx/datos_imprimir_sobre.php txt_usua_codi, tx/datos_imprimir_sobre.php nume_radi_temp, tx/revertir_firma_digital_grabar.php txt_radi_nume, tx/tx_borrar_opcion_imp.php codigo_opc, tx/tx_realizar_tx.php txt_radicados, tx/tx_seguridad_documentos.php txt_radicados, or uploadFiles/cargar_doc_digitalizado_paginador.php txt_depe_codi.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS