Podatności SOPlanning

Soplanning w wersji 1.32 i wcześniejszych generuje statyczne linki do udostępniania kalendarzy ICAL z osadzonymi informacjami logowania, co umożliwia zdalnym atakującym uzyskanie hasła właściciela kalendarza poprzez atak brute-force na osadzony skrót hasła.

SOPlanning zawiera podatność na wstrzykiwanie SQL w konfiguracji przechowywania audytu. Atakujący z uprawnieniami parameters_all może wstrzyknąć polecenia SQL do formularza konfiguracji audytu, które są następnie zapisywane. Wykonanie następuje przy dostępie do funkcji audytu przez atakującego lub innego użytkownika.

SOPlanning w wersji 1.55 i niższych jest podatny na CSRF w endpointach groupe_save (tworzenie, modyfikacja, usuwanie). Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego użytkownika automatycznie wysyła sfałszowane żądanie.

SOPlanning w wersji 1.55 i niższych nie weryfikuje rozszerzenia przesyłanych plików, co pozwala uwierzytelnionemu atakującemu na przesłanie spreparowanego archiwum ZIP z złośliwym plikiem.

SOPlanning w wersji 1.55 i niższych jest podatny na Path Traversal w endpointach kopii zapasowych. Uwierzytelniony atakujący zdalny może wykorzystać podatny endpoint i skonstruować ładunki umożliwiające odczyt i wykonanie plików dodanych wcześniej przez funkcję kopii zapasowej. Dodatkowo, z powodu CVE-2026-40543, każdy plik kopii zapasowej może być odczytany przez nieautoryzowanego użytkownika.

SOPlanning jest podatny na ataki SQL Injection w wielu punktach końcowych i parametrach. Atakujący z niskimi uprawnieniami może wstrzykiwać dowolne polecenia SQL, potencjalnie uzyskując pełną kontrolę nad bazą danych. Problem dotyczy wersji 1.55 i niższych.

Podatność Reflected XSS w SOPlanning (wersje 1.55 i niższe) poprzez parametr taches. Atakujący może stworzyć złośliwy URL, który po otwarciu przez uwierzytelnioną ofiarę powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Podatność na Stored XSS w SOPlanning w wersji 1.55 i niższych. Uwierzytelniony atakujący może przesłać spreparowany archiwum ZIP z plikiem user.csv zawierającym JavaScript, który wykonuje się po kliknięciu przycisku Edytuj.

SOPlanning w wersji 1.55 i niższych nie wymusza autoryzacji dla funkcji tworzenia kopii zapasowych. Niezalogowany atakujący może bezpośrednio wysyłać zapytania do endpointów związanych z kopiami zapasowymi i pobierać archiwa zawierające bazy danych użytkowników z nazwami użytkowników i hashami haseł, a także plik config.csv z dodatkowymi wrażliwymi informacjami.

SOPlanning 1.52.00 jest podatny na Cross Site Scripting (XSS) poprzez parametr groupe_id w pliku process/groupe_save.php.

SOPlanning 1.52.00 jest podatny na wstrzyknięcie SQL przez uwierzytelnionego użytkownika poprzez plik projets.php z parametrem statut[].

SOPlanning jest podatny na przechowywany XSS w punkcie końcowym /feries. Złośliwy atakujący z dostępem do funkcji dni wolnych może wstrzyknąć dowolny HTML i JS do witryny, który zostanie wykonany przy otwieraniu wielu stron; domyślnie dostęp mają tylko administratorzy i użytkownicy ze specjalnymi uprawnieniami. Podatność naprawiono w wersji 1.55.

SOPlanning jest podatny na eskalację uprawnień w zakładce zarządzania użytkownikami. Użytkownicy z rolą user_manage_team mogą modyfikować uprawnienia użytkowników, w tym przypisywać uprawnienia administracyjne dowolnemu użytkownikowi, włączając siebie.

SOPlanning zawiera podatność Stored XSS w endpoincie /status. Zalogowany atakujący może wstrzyknąć dowolny kod HTML i JavaScript, który zostanie wykonany przy otwieraniu wielu stron aplikacji. Podatność naprawiono w wersji 1.55.

SOPlanning zawiera podatność Stored XSS w endpoincie /projets. Atakujący ze średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JavaScript, który zostanie wykonany przy otwieraniu edytowanej strony. Podatność naprawiono w wersji 1.55.

SOPlanning zawiera podatność Stored XSS w endpoincie /taches. Atakujący ze średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JavaScript, który zostanie wykonany przy otwieraniu edytora. Podatność naprawiono w wersji 1.55.

SOPlanning zawiera podatność Stored XSS w endpoincie /groupe_form. Atakujący ze średnimi uprawnieniami może wstrzyknąć dowolny kod HTML i JavaScript, który zostanie wykonany przy otwieraniu edytora. Podatność naprawiono w wersji 1.55.

SOPlanning jest podatny na przewidywalne generowanie tokenów odzyskiwania hasła. Z powodu słabego mechanizmu generowania tokenów atakujący może brute-force'ować wszystkie możliwe wartości i przejąć dowolne konto w rozsądnym czasie.

SOPlanning zawiera podatność Broken Access Control w endpoincie /status. Z powodu braku kontroli uprawnień w funkcjonalności Project Status uwierzytelniony atakujący może dodawać, edytować i usuwać dowolne statusy. Podatność naprawiono w wersji 1.55.

SOPlanning v1.53.02 zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z braku właściwej walidacji danych wejściowych. Atakujący może wysłać specjalnie spreparowane żądanie POST z parametrem 'LOGOUT_REDIRECT' w '/soplanning/www/process/options.php', aby wykonać złośliwy skrypt.