CVE-2025-68392
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Moduły ARKETEAM Protectel PROTECTELMAJ i BDF pozwalają użytkownikom o niskich uprawnieniach na korzystanie z funkcji zarezerwowanych dla administratorów poprzez sfałszowanie bezpośrednich żądań do określonego endpointu. Podatność została naprawiona w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może wykonać akcje administracyjne, co może prowadzić do nieautoryzowanych zmian konfiguracji lub naruszenia integralności systemu.
Rekomendacja
Zaktualizuj PROTECTELMAJ do wersji 6.5.19 lub nowszej oraz BDF do wersji 6.4.67 lub nowszej.
Inne podatności w ARKETEAM Protectel
Zobacz wszystkie- CVE-2025-68395Średnie
Moduły ARKETEAM Protectel PROTECTELMAJ i BDF zawierają moduł edytora notatek podatny na przechowywany XSS. Użytkownik z niskimi uprawnieniami może wstrzyknąć dowolny HTML i JS do notatek, które zostaną wyrenderowane/wykonane, gdy użytkownik odwiedzi ten moduł.
- CVE-2025-68394Wysokie
Moduły PROTECTELMAJ i BDF firmy ARKETEAM są podatne na wstrzyknięcie SQL. Nieprawidłowa neutralizacja danych wejściowych dostarczonych przez użytkownika o niskich uprawnieniach do parametru "profilInput" umożliwia ataki SQL Injection. Podatność naprawiono w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
- CVE-2025-68393Wysokie
Moduły PROTECTELMAJ i BDF firmy ARKETEAM są podatne na wstrzyknięcie SQL. Nieprawidłowa neutralizacja danych wejściowych dostarczonych przez użytkownika o niskich uprawnieniach do parametru "Utilisateur" umożliwia ataki SQL Injection. Podatność naprawiono w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
- CVE-2025-68391Średnie
Moduły ARKETEAM Protectel PROTECTELMAJ i BDF są podatne na dowolne przesyłanie plików. Każdy użytkownik może przesłać dowolny plik i nadpisać istniejące pliki w folderze tymczasowym, co może prowadzić do wykonania osadzonych skryptów JavaScript, gdy uwierzytelniony użytkownik próbuje pobrać przesłany plik. Podatność została naprawiona w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
Oryginalny opis (angielski, źródło NVD)
ARKETEAM Protectel modules PROTECTELMAJ and BDF allow low privileged users to use some of the functionalities reserved for admin users by forging direct requests to a specific endpoint. This issue has been fixed in: PROTECTELMAJ v6.5.19 and BDF v6.4.67
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS