CVE-2025-62731
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
SOPlanning jest podatny na przechowywany XSS w punkcie końcowym /feries. Złośliwy atakujący z dostępem do funkcji dni wolnych może wstrzyknąć dowolny HTML i JS do witryny, który zostanie wykonany przy otwieraniu wielu stron; domyślnie dostęp mają tylko administratorzy i użytkownicy ze specjalnymi uprawnieniami. Podatność naprawiono w wersji 1.55.
Ocena ryzyka
Wstrzyknięty skrypt może wykonać się w przeglądarce administratora lub uprzywilejowanego użytkownika, co grozi przejęciem sesji i modyfikacją danych. Ryzyko dotyczy instalacji SOPlanning z dostępem do funkcji dni wolnych.
Rekomendacja
Zaktualizuj SOPlanning do wersji 1.55 lub nowszej. Ogranicz dostęp do funkcji dni wolnych wyłącznie do zaufanych administratorów.
Inne podatności w SOPlanning
Zobacz wszystkie- CVE-2014-8675Wysokie
Soplanning w wersji 1.32 i wcześniejszych generuje statyczne linki do udostępniania kalendarzy ICAL z osadzonymi informacjami logowania, co umożliwia zdalnym atakującym uzyskanie hasła właściciela kalendarza poprzez atak brute-force na osadzony skrót hasła.
- CVE-2026-50644Wysokie
SOPlanning zawiera podatność na wstrzykiwanie SQL w konfiguracji przechowywania audytu. Atakujący z uprawnieniami parameters_all może wstrzyknąć polecenia SQL do formularza konfiguracji audytu, które są następnie zapisywane. Wykonanie następuje przy dostępie do funkcji audytu przez atakującego lub innego użytkownika.
- CVE-2026-40549Średnie
SOPlanning w wersji 1.55 i niższych jest podatny na CSRF w endpointach groupe_save (tworzenie, modyfikacja, usuwanie). Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego użytkownika automatycznie wysyła sfałszowane żądanie.
- CVE-2026-40548Średnie
SOPlanning w wersji 1.55 i niższych nie weryfikuje rozszerzenia przesyłanych plików, co pozwala uwierzytelnionemu atakującemu na przesłanie spreparowanego archiwum ZIP z złośliwym plikiem.
- CVE-2026-40547Średnie
SOPlanning w wersji 1.55 i niższych jest podatny na Path Traversal w endpointach kopii zapasowych. Uwierzytelniony atakujący zdalny może wykorzystać podatny endpoint i skonstruować ładunki umożliwiające odczyt i wykonanie plików dodanych wcześniej przez funkcję kopii zapasowej. Dodatkowo, z powodu CVE-2026-40543, każdy plik kopii zapasowej może być odczytany przez nieautoryzowanego użytkownika.
- CVE-2026-40546Wysokie
SOPlanning jest podatny na ataki SQL Injection w wielu punktach końcowych i parametrach. Atakujący z niskimi uprawnieniami może wstrzykiwać dowolne polecenia SQL, potencjalnie uzyskując pełną kontrolę nad bazą danych. Problem dotyczy wersji 1.55 i niższych.
- CVE-2026-40545Średnie
Podatność Reflected XSS w SOPlanning (wersje 1.55 i niższe) poprzez parametr taches. Atakujący może stworzyć złośliwy URL, który po otwarciu przez uwierzytelnioną ofiarę powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
- CVE-2026-40544Średnie
Podatność na Stored XSS w SOPlanning w wersji 1.55 i niższych. Uwierzytelniony atakujący może przesłać spreparowany archiwum ZIP z plikiem user.csv zawierającym JavaScript, który wykonuje się po kliknięciu przycisku Edytuj.
- CVE-2026-40543Wysokie
SOPlanning w wersji 1.55 i niższych nie wymusza autoryzacji dla funkcji tworzenia kopii zapasowych. Niezalogowany atakujący może bezpośrednio wysyłać zapytania do endpointów związanych z kopiami zapasowymi i pobierać archiwa zawierające bazy danych użytkowników z nazwami użytkowników i hashami haseł, a także plik config.csv z dodatkowymi wrażliwymi informacjami.
- CVE-2024-33724Średnie
SOPlanning 1.52.00 jest podatny na Cross Site Scripting (XSS) poprzez parametr groupe_id w pliku process/groupe_save.php.
Oryginalny opis (angielski, źródło NVD)
SOPlanning is vulnerable to Stored XSS in /feries endpoint. Malicious attacker with access to public holidays feature is able to inject arbitrary HTML and JS into website, which will be rendered/executed when opening multiple pages. By default only administrators and users with special privileges are able to access this endpoint. This issue was fixed in version 1.55.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS