CVE-2025-68395
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Moduły ARKETEAM Protectel PROTECTELMAJ i BDF zawierają moduł edytora notatek podatny na przechowywany XSS. Użytkownik z niskimi uprawnieniami może wstrzyknąć dowolny HTML i JS do notatek, które zostaną wyrenderowane/wykonane, gdy użytkownik odwiedzi ten moduł.
Ocena ryzyka
Niskouprzywilejowany atakujący może wykonać dowolny JavaScript w przeglądarce innych użytkowników, potencjalnie przejmując sesje lub wykonując działania w ich imieniu. Ryzyko dotyczy wszystkich użytkowników odwiedzających moduł notatek.
Rekomendacja
Zaktualizuj PROTECTELMAJ do wersji 6.5.19 lub nowszej oraz BDF do wersji 6.4.67 lub nowszej. Wprowadź walidację i sanityzację treści notatek.
Inne podatności w ARKETEAM Protectel
Zobacz wszystkie- CVE-2025-68394Wysokie
Moduły PROTECTELMAJ i BDF firmy ARKETEAM są podatne na wstrzyknięcie SQL. Nieprawidłowa neutralizacja danych wejściowych dostarczonych przez użytkownika o niskich uprawnieniach do parametru "profilInput" umożliwia ataki SQL Injection. Podatność naprawiono w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
- CVE-2025-68393Wysokie
Moduły PROTECTELMAJ i BDF firmy ARKETEAM są podatne na wstrzyknięcie SQL. Nieprawidłowa neutralizacja danych wejściowych dostarczonych przez użytkownika o niskich uprawnieniach do parametru "Utilisateur" umożliwia ataki SQL Injection. Podatność naprawiono w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
- CVE-2025-68392Średnie
Moduły ARKETEAM Protectel PROTECTELMAJ i BDF pozwalają użytkownikom o niskich uprawnieniach na korzystanie z funkcji zarezerwowanych dla administratorów poprzez sfałszowanie bezpośrednich żądań do określonego endpointu. Podatność została naprawiona w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
- CVE-2025-68391Średnie
Moduły ARKETEAM Protectel PROTECTELMAJ i BDF są podatne na dowolne przesyłanie plików. Każdy użytkownik może przesłać dowolny plik i nadpisać istniejące pliki w folderze tymczasowym, co może prowadzić do wykonania osadzonych skryptów JavaScript, gdy uwierzytelniony użytkownik próbuje pobrać przesłany plik. Podatność została naprawiona w wersjach PROTECTELMAJ v6.5.19 i BDF v6.4.67.
Oryginalny opis (angielski, źródło NVD)
ARKETEAM Protectel modules PROTECTELMAJ and BDF contain a note editor module vulnerable to Stored XSS. A low privileged attacker can inject arbitrary HTML and JS into notes, which will be rendered/executed when a user visits this module. This issue has been fixed in: PROTECTELMAJ v6.5.19 and BDF v6.4.67
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS