CVE-2026-51367

W Bottinelli Informatica Vedo Suite w wersji v1.2.5 występuje podatność na wstrzykiwanie SQL (SQL Injection) w endpointcie api_vedo/chat i parametrze utente_chat, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.

Podatność SSRF w Vedo Suite 2024.17 umożliwia uwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych zewnętrznych ścieżek poprzez parametr "file" w endpointcie /api_vedo/video/preview.

Podatność lokalnego dołączania plików (LFI) w Vedo Suite w wersji 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesanityzowanego wywołania funkcji 'readfile()' w ścieżce '/api_vedo/video/preview'.

Podatność nieograniczonego przesyłania plików w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym zapis do dowolnych ścieżek systemu plików poprzez wykorzystanie niebezpiecznej funkcji 'uploadPreviews()' w '/api_vedo/colorways_preview', co prowadzi do zdalnego wykonania kodu (RCE).

W Vedo Suite w wersji 2024.17 odkryto niebezpieczne przechowywanie danych uwierzytelniających w pliku /api_vedo/configuration/config.yml. Plik ten zawiera poświadczenia w postaci jawnego tekstu, tajne klucze oraz informacje o bazie danych.

Podatność w Vedo Suite 2024.17 umożliwia nieuwierzytelnionym atakującym zdalne uzyskanie ważnego tokena JWT z wysokimi uprawnieniami poprzez wysłanie pustego żądania HTTP POST do endpointu /autologin/. Jest to spowodowane nieprawidłową kontrolą dostępu.

Podatność Cross-site scripting (XSS) w interfejsie /api_vedo/ w Vedo Suite w wersji 2024.17 umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML, co może prowadzić do wykonania kodu w przeglądarce ofiary.

Podatność typu path traversal w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie niesprawdzonego wywołania funkcji 'file_get_contents()' w ścieżce '/api_vedo/template'.