Podatności ARKETEAM Protectel

Moduły ARKETEAM Protectel PROTECTELMAJ i BDF zawierają moduł edytora notatek podatny na przechowywany XSS. Użytkownik z niskimi uprawnieniami może wstrzyknąć dowolny HTML i JS do notatek, które zostaną wyrenderowane/wykonane, gdy użytkownik odwiedzi ten moduł.

Moduły PROTECTELMAJ i BDF firmy ARKETEAM są podatne na wstrzyknięcie SQL. Nieprawidłowa neutralizacja danych wejściowych dostarczonych przez użytkownika o niskich uprawnieniach do parametru "profilInput" umożliwia ataki SQL Injection. Podatność naprawiono w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.

Moduły PROTECTELMAJ i BDF firmy ARKETEAM są podatne na wstrzyknięcie SQL. Nieprawidłowa neutralizacja danych wejściowych dostarczonych przez użytkownika o niskich uprawnieniach do parametru "Utilisateur" umożliwia ataki SQL Injection. Podatność naprawiono w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.

Moduły ARKETEAM Protectel PROTECTELMAJ i BDF pozwalają użytkownikom o niskich uprawnieniach na korzystanie z funkcji zarezerwowanych dla administratorów poprzez sfałszowanie bezpośrednich żądań do określonego endpointu. Podatność została naprawiona w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.

Moduły ARKETEAM Protectel PROTECTELMAJ i BDF są podatne na dowolne przesyłanie plików. Każdy użytkownik może przesłać dowolny plik i nadpisać istniejące pliki w folderze tymczasowym, co może prowadzić do wykonania osadzonych skryptów JavaScript, gdy uwierzytelniony użytkownik próbuje pobrać przesłany plik. Podatność została naprawiona w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.