| CVE ID | CVE-2025-1980 |
| Data publikacji | 16 kwietnia 2025 |
| Producent podatnego oprogramowania | Symfonia |
| Nazwa podatnego oprogramowania | Ready_ |
| Podatne wersje | Od 7.0.0.0 do 7.19.39.23 włącznie |
| Typ podatności (CWE) | Unrestricted Upload of File with Dangerous Type (CWE-434) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-1981 |
| Data publikacji | 16 kwietnia 2025 |
| Producent podatnego oprogramowania | Symfonia |
| Nazwa podatnego oprogramowania | Ready_ |
| Podatne wersje | Od 7.0.0.0 do 7.19.39.23 włącznie |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-1982 |
| Data publikacji | 16 kwietnia 2025 |
| Producent podatnego oprogramowania | Symfonia |
| Nazwa podatnego oprogramowania | Ready_ |
| Podatne wersje | Od 7.0.0.0 do 7.19.39.23 włącznie |
| Typ podatności (CWE) | Files or Directories Accessible to External Parties (CWE-552) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-1983 |
| Data publikacji | 16 kwietnia 2025 |
| Producent podatnego oprogramowania | Symfonia |
| Nazwa podatnego oprogramowania | Ready_ |
| Podatne wersje | Od 7.0.0.0 do 7.19.39.23 włącznie |
| Typ podatności (CWE) | Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Symfonia Ready_ i koordynował proces ujawniania informacji.
Podatność CVE-2025-1980: Moduł Profil w aplikacji Ready_ umożliwia użytkownikom wgranie pliku z dowolnym rozszerzeniem. W przypadku gdy serwer został niepoprawnie skonfigurowany (domyślne ustawienia przy instalacji na przełomie 2021 i 2022 roku) możliwe jest zdalne wykonanie wgranego pliku.
Podatność CVE-2025-1981: Nieodpowiednia walidacja danych wprowadzanych w pole wyszukiwania umożliwia atakującemu posiadającemu niskie uprawnienia na przeprowadzenie ataku typu SQL Injection.
Podatność CVE-2025-1982: Moduł wysyłania plików jest podatny na ataki typu Local File Inclusion. Użytkownik posiadający niskie uprawnienia za pomocą protokołu file:// jest w stanie odczytywać zawartości plików znajdujących się na serwerze. Ta podatność może zostać wykorzystana do odczytania plików systemowych.
Podatność CVE-2025-1983: Moduł przeglądarki plików jest podatny na ataki Stored XSS (Cross-site Scripting). Atakujący może wstrzyknąć dowolny kodu JavaScript w nazwie plików. Wstrzyknięta zawartość jest przechowywana na serwerze i wykonywana za każdym razem, gdy użytkownik wejdzie w interakcję ze wspomnianym plikiem.
Podziękowania
Za zgłoszenie podatności dziękujemy Maksymilianowi Kubiakowi, Sławomirowi Zakrzewskiemu oraz Jakubowi Stankiewiczowi z Afine Team.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.