| CVE ID | CVE-2025-68391 |
| Data publikacji | 30 października 2026 |
| Producent podatnego oprogramowania | ARKETEAM |
| Nazwa podatnego oprogramowania | Protectel (moduły PROTECTELMAJ oraz BDF) |
| Podatne wersje | Wszystkie poniżej 6.5.19 (PROTECTELMAJ) Wszystkie poniżej 6.4.67 (BDF) |
| Typ podatności (CWE) | Unrestricted Upload of File with Dangerous Type (CWE-434) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-68392 |
| Data publikacji | 30 października 2026 |
| Producent podatnego oprogramowania | ARKETEAM |
| Nazwa podatnego oprogramowania | Protectel (moduły PROTECTELMAJ oraz BDF) |
| Podatne wersje | Wszystkie poniżej 6.5.19 (PROTECTELMAJ) Wszystkie poniżej 6.4.67 (BDF) |
| Typ podatności (CWE) | Incorrect Authorization (CWE-863) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-68393 |
| Data publikacji | 30 października 2026 |
| Producent podatnego oprogramowania | ARKETEAM |
| Nazwa podatnego oprogramowania | Protectel (moduły PROTECTELMAJ oraz BDF) |
| Podatne wersje | Wszystkie poniżej 6.5.19 (PROTECTELMAJ) Wszystkie poniżej 6.4.67 (BDF) |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-68394 |
| Data publikacji | 30 października 2026 |
| Producent podatnego oprogramowania | ARKETEAM |
| Nazwa podatnego oprogramowania | Protectel (moduły PROTECTELMAJ oraz BDF) |
| Podatne wersje | Wszystkie poniżej 6.5.19 (PROTECTELMAJ) Wszystkie poniżej 6.4.67 (BDF) |
| Typ podatności (CWE) | Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (CWE-89) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2025-68395 |
| Data publikacji | 30 października 2026 |
| Producent podatnego oprogramowania | ARKETEAM |
| Nazwa podatnego oprogramowania | Protectel (moduły PROTECTELMAJ oraz BDF) |
| Podatne wersje | Wszystkie poniżej 6.5.19 (PROTECTELMAJ) Wszystkie poniżej 6.4.67 (BDF) |
| Typ podatności (CWE) | Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie dotyczące podatności w oprogramowaniu ARKETEAM Protectel i uczestniczył w koordynacji procesu ich ujawnienia.
Podatność CVE-2025-68391: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel zawierają podatność typu arbitrary file upload. Każdy użytkownik może przesłać dowolny plik oraz nadpisać istniejące pliki w folderze tymczasowym. Podatność ta może prowadzić do wykonania osadzonego kodu JavaScript, gdy uwierzytelniony użytkownik podejmie próbę pobrania przesłanego pliku.
Podatność CVE-2025-68392: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel umożliwiają użytkownikom o niskich uprawnieniach korzystanie z niektórych funkcjonalności zarezerwowanych dla administratorów poprzez tworzenie bezpośrednich żądań do konkretnego endpointu.
Podatność CVE-2025-68393: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel są podatne na SQL Injection. Nieprawidłowa neutralizacja danych wejściowych dostarczanych przez użytkownika o niskich uprawnieniach do parametru Utilisateur umożliwia przeprowadzenie ataków typu SQL Injection.
Podatność CVE-2025-68394: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel są podatne na SQL Injection. Nieprawidłowa neutralizacja danych wejściowych przekazywanych przez użytkownika o niskich uprawnieniach w parametrze profilInput umożliwia przeprowadzenie ataków typu SQL Injection.
Podatność CVE-2025-68395: Moduły PROTECTELMAJ i BDF w produkcie ARKETEAM Protectel zawierają edytor notatek podatny na Stored XSS. Atakujący z niskimi uprawnieniami może wstrzyknąć dowolny kod HTML i JS do notatek, który zostanie renderowany/wykonany, gdy użytkownik odwiedzi ten moduł.
Te podatności zostały usunięte w wersjach: PROTECTELMAJ v6.5.19 i BDF v6.4.67
Podziękowania
Za zgłoszenie podatności dziękujemy Karolowi Miringowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.