CVE-2025-63748

WysokieCVSS 8.8

Opublikowano: 17/11/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

W QaTraq 6.9.2 uwierzytelnieni użytkownicy mogą przesyłać dowolne pliki przez funkcję 'Dodaj załącznik' w module 'Skrypt testowy'. Aplikacja nie ogranicza typów plików, co umożliwia wgrywanie wykonywalnych plików PHP. Po przesłaniu plik można otworzyć przez opcję 'Wyświetl załącznik', co powoduje wykonanie kodu PHP na serwerze.

Ocena ryzyka

Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub dalszego rozprzestrzenienia ataku w sieci wewnętrznej.

Rekomendacja

Należy natychmiast zaktualizować QaTraq do najnowszej wersji oraz wdrożyć mechanizmy walidacji typów plików (np. lista dozwolonych rozszerzeń) i skanowanie antywirusowe przesyłanych załączników.

Inne podatności w QaTraq

CVE-2025-63747Krytyczne
QaTraq 6.9.2 zawiera domyślne dane logowania do konta administracyjnego, które są aktywne w standardowej instalacji. Pozwala to na natychmiastowe zalogowanie się przez stronę logowania aplikacji webowej. Atakujący, który ma dostęp do strony logowania, może uzyskać pełne uprawnienia administracyjne.

Oryginalny opis (angielski, źródło NVD)

QaTraq 6.9.2 allows authenticated users to upload arbitrary files via the "Add Attachment" feature in the "Test Script" module. The application fails to restrict file types, enabling the upload of executable PHP files. Once uploaded, the file can be accessed through the "View Attachment" option, which executes the PHP payload on the server.