CVE-2025-55342
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Quipux 4.0.1 do wersji e1774ac pozwala na enumerację nazw użytkowników oraz dostęp do ekwadorskiego numeru identyfikacyjnego wszystkich zarejestrowanych użytkowników poprzez parametr txt_login w Administracion/usuarios/cambiar_password_olvido_validar.php.
Ocena ryzyka
Atakujący może gromadzić dane identyfikacyjne użytkowników, co ułatwia ataki socjotechniczne, przejmowanie kont i narusza prywatność (dane osobowe).
Rekomendacja
Ograniczyć ujawnianie informacji w odpowiedziach endpointu, wdrożyć jednolite komunikaty błędów i zaktualizować Quipux do wersji bez podatności.
Inne podatności w Quipux
Zobacz wszystkie- CVE-2025-55343Krytyczne
Quipux w wersji 4.0.1 do e1774ac pozwala uwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection poprzez wiele parametrów w różnych plikach PHP, m.in. busqueda/busqueda.php, anexos_lista.php, Administracion/listas/*.php, asociar_documentos/*.php, radicacion/*.php, reportes/reporte_TraspasoDocFisico.php, tx/*.php oraz uploadFiles/cargar_doc_digitalizado_paginador.php.
- CVE-2025-55341Średnie
W Quipux 4.0.1 do wersji e1774ac występuje podatność Cross Site Scripting (XSS) w pliku anexos/anexos_nuevo.php, związana z parametrem asocImgRad. Podatność pozwala na wstrzyknięcie złośliwego skryptu, który może zostać wykonany w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
Quipux 4.0.1 through e1774ac allows enumeration of usernames, and accessing the Ecuadorean identification number for all registered users via the Administracion/usuarios/cambiar_password_olvido_validar.php txt_login parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS