Podatności Progress MOVEit Transfer

W module SFTP oprogramowania Progress MOVEit Transfer występuje błąd polegający na nieprawidłowej implementacji algorytmu uwierzytelniania. Podatność dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

W module Custom Reports oprogramowania Progress MOVEit Transfer występuje podatność SQL injection wynikająca z nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W oprogramowaniu Progress MOVEit Transfer występuje podatność polegająca na niezabezpieczonym przechowywaniu informacji wrażliwych. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W oprogramowaniu Progress MOVEit Transfer występuje podatność związana z nieprawidłową obsługą kodowania Unicode. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W oprogramowaniu Progress MOVEit Transfer występuje podatność polegająca na niewystarczającym wygaszaniu sesji. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module Client Certificates oprogramowania Progress MOVEit Transfer występuje podatność polegająca na nieprawidłowej autoryzacji. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module LDAP oprogramowania Progress MOVEit Transfer występuje podatność LDAP injection wynikająca z nieprawidłowej neutralizacji znaków specjalnych w zapytaniach LDAP. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module OIDC oprogramowania Progress MOVEit Transfer występuje podatność umożliwiająca obejście uwierzytelniania poprzez atak typu capture-replay. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module Ad Hoc oprogramowania Progress MOVEit Transfer występuje podatność cross-site scripting (XSS) wynikająca z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module LDAP oprogramowania Progress MOVEit Transfer występuje podatność polegająca na pominięciu krytycznego kroku w procesie uwierzytelniania. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

Podatność w Progress MOVEit Transfer pozwala na obejście uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału. Problem dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

Podatność w Progress MOVEit Transfer wynika z nieprawidłowego przypisania uprawnień do krytycznego zasobu. Problem dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

Podatność typu równoważności ścieżek w module przesyłania plików Progress MOVEit Transfer umożliwia potencjalne ominięcie zabezpieczeń. Problem dotyczy wersji przed 2025.0.8 oraz od 2025.1.0 do 2025.1.4.

Podatność nieprawidłowej autoryzacji w module Audit User systemu Progress MOVEit Transfer. Luka umożliwia nieautoryzowany dostęp do funkcji audytu użytkowników.

Podatność polegająca na przechodzeniu do względnych ścieżek (relative path traversal) w module ustawień administracyjnych Progress MOVEit Transfer. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.

Podatność w Progress MOVEit Transfer (moduł Custom Reports) umożliwia niewłaściwą neutralizację specjalnych elementów w logice zapytań danych. Luka występuje w wersjach przed 2025.0.7 oraz od 2025.1.0 do 2025.1.3.

W module Ad Hoc oprogramowania Progress MOVEit Transfer wykryto podatność na ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Podatność umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do przeglądarki ofiary.

W module Custom Reports w Progress MOVEit Transfer wykryto podatność polegającą na braku zwalniania pamięci po zakończeniu jej użytecznego okresu życia. Problem dotyczy wersji 2025.0.0 przed 2025.0.8, 2025.1.0 przed 2025.1.4 oraz 2026.0.0 przed 2026.0.1.

W Progress MOVEit Transfer w module Custom Reports wykryto podatność polegającą na niewłaściwej neutralizacji specjalnych elementów w logice zapytań do danych. Umożliwia to atakującemu manipulację zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych.