CVE-2025-56423
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W OpenAtlas v.8.12.0 (Austrian Academy of Sciences, Austrian Archaeological Institute) występuje problem umożliwiający zdalnemu atakującemu uzyskanie poufnych informacji poprzez komunikaty błędów logowania.
Ocena ryzyka
Atakujący może uzyskać informacje o istnieniu kont lub innych danych wrażliwych, co ułatwia dalsze ataki (np. enumerację użytkowników). Wpływa to na poufność systemu.
Rekomendacja
Zaktualizuj OpenAtlas do wersji zawierającej poprawkę lub zmodyfikuj komunikaty błędów logowania, aby nie ujawniały poufnych informacji. Wdróż jednolite komunikaty błędów.
Inne podatności w OpenAtlas
Zobacz wszystkie- CVE-2025-60917Średnie
W punkcie końcowym /overview/network/ aplikacji Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje podatność typu reflected XSS. Atakujący może wstrzyknąć złośliwy ładunek do parametru color, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika.
- CVE-2025-60916Średnie
W Austrian Archaeological Institute Openatlas przed wersją v8.12.0 występuje podatność na odbite XSS (reflected cross-site scripting) w punkcie końcowym /overview/network/. Atakujący może wykonać dowolny kod w kontekście przeglądarki użytkownika poprzez wstrzyknięcie spreparowanego ładunku do parametru charge.
- CVE-2025-60915Wysokie
W Openatlas Austriackiego Instytutu Archeologicznego przed wersją v8.12.0 występuje problem w parametrze size zapytania (/views/file.py), który pozwala atakującym na wykonanie path traversal poprzez spreparowane żądanie.
- CVE-2025-60914Średnie
W Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje nieprawidłowa kontrola dostępu. Atakujący mogą uzyskać dostęp do poufnych informacji poprzez wysłanie spreparowanego żądania GET do endpointu /display_logo.
- CVE-2025-40709Średnie
W OpenAtlas v8.9.0 występuje podatność typu cross-site scripting (XSS) wynikająca z nieodpowiedniej walidacji danych wejściowych podczas wysyłania żądania POST. Zdalny użytkownik może wysłać spreparowane zapytania do uwierzytelnionego użytkownika poprzez parametry "name" i "alias-0" w żądaniu "/insert/person/<ID>".
- CVE-2025-40708Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/event", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40707Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "name" i "alias-0" w żądaniu "/insert/place", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40706Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/source", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40705Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/acquisition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40704Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/edition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
An issue in Austrian Academy of Sciences (AW) Austrian Archaeological Institute OpenAtlas v.8.12.0 allows a remote attacker to obtain sensitive information via the login error messages
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS