CVE-2025-60915
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W Openatlas Austriackiego Instytutu Archeologicznego przed wersją v8.12.0 występuje problem w parametrze size zapytania (/views/file.py), który pozwala atakującym na wykonanie path traversal poprzez spreparowane żądanie.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików poza dozwolonym katalogiem, co grozi wyciekiem danych lub ujawnieniem informacji wrażliwych.
Rekomendacja
Zaktualizuj Openatlas do wersji v8.12.0 lub nowszej, która zawiera poprawkę walidacji parametru size.
Inne podatności w Openatlas
Zobacz wszystkie- CVE-2025-60917Średnie
W punkcie końcowym /overview/network/ aplikacji Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje podatność typu reflected XSS. Atakujący może wstrzyknąć złośliwy ładunek do parametru color, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika.
- CVE-2025-60916Średnie
W Austrian Archaeological Institute Openatlas przed wersją v8.12.0 występuje podatność na odbite XSS (reflected cross-site scripting) w punkcie końcowym /overview/network/. Atakujący może wykonać dowolny kod w kontekście przeglądarki użytkownika poprzez wstrzyknięcie spreparowanego ładunku do parametru charge.
- CVE-2025-60914Średnie
W Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje nieprawidłowa kontrola dostępu. Atakujący mogą uzyskać dostęp do poufnych informacji poprzez wysłanie spreparowanego żądania GET do endpointu /display_logo.
- CVE-2025-56423Średnie
W OpenAtlas v.8.12.0 (Austrian Academy of Sciences, Austrian Archaeological Institute) występuje problem umożliwiający zdalnemu atakującemu uzyskanie poufnych informacji poprzez komunikaty błędów logowania.
- CVE-2025-40709Średnie
W OpenAtlas v8.9.0 występuje podatność typu cross-site scripting (XSS) wynikająca z nieodpowiedniej walidacji danych wejściowych podczas wysyłania żądania POST. Zdalny użytkownik może wysłać spreparowane zapytania do uwierzytelnionego użytkownika poprzez parametry "name" i "alias-0" w żądaniu "/insert/person/<ID>".
- CVE-2025-40708Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/event", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40707Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "name" i "alias-0" w żądaniu "/insert/place", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40706Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/source", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40705Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/acquisition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40704Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/edition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
An issue in the size query parameter (/views/file.py) of Austrian Archaeological Institute Openatlas before v8.12.0 allows attackers to execute a path traversal via a crafted request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS