| CVE ID | CVE-2025-3893 |
| Data publikacji | 23 maja 2025 |
| Producent podatnego oprogramowania | Jan Syski |
| Nazwa podatnego oprogramowania | MegaBIP |
| Podatne wersje | Wszystkie do 5.19 włącznie |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-3894 |
| Data publikacji | 23 maja 2025 |
| Producent podatnego oprogramowania | Jan Syski |
| Nazwa podatnego oprogramowania | MegaBIP |
| Podatne wersje | Wszystkie do 5.19 włącznie |
| Typ podatności (CWE) | Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-3895 |
| Data publikacji | 23 maja 2025 |
| Producent podatnego oprogramowania | Jan Syski |
| Nazwa podatnego oprogramowania | MegaBIP |
| Podatne wersje | Wszystkie do 5.19 włącznie |
| Typ podatności (CWE) | Small Space of Random Values (CWE-334) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu MegaBIP i koordynował proces ujawniania informacji.
Podatność CVE-2025-3893: Podczas edycji stron zarządzanych przez MegaBIP, użytkownik z wysokimi uprawnieniami jest proszony o podanie uzasadnienia dla wykonania tej operacji. Wprowadzone dane nie są poprawnie sanityzowane, co prowadzi do podatności typu SQL Injection.
Podatność CVE-2025-3894: Edytor tekstu wbudowany w oprogramowanie MegaBIP nie neutralizuje danych wejściowych użytkownika, umożliwiając przeprowadzenie ataku Stored XSS na innych użytkownikach. Do korzystania z edytora wymagane są wysokie uprawnienia.
Podatność CVE-2025-3895: Tokeny używane do resetowania haseł w oprogramowaniu MegaBIP są generowane w oparciu o niewielką przestrzeń losowych wartości połączonych z wartością możliwą do zapytania. Pozwala to nieuwierzytelnionemu atakującemu, który zna loginy użytkowników, na odgadnięcie tych tokenów metodą brute force i zmianę haseł do kont (w tym także kont administratorów).
Wersja 5.20 oprogramowania MegaBIP usuwa te podatności.
Podziękowania
Za zgłoszenie podatności dziękujemy Kamilowi Szczurowskiemu i Robertowi Kruczkowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.