Protectel 軟體多項漏洞揭露：CVE-2025-68391 及相關安全缺陷
Vulnerabilities in ARKETEAM Protectel software
Protectel 軟體近期被發現多項嚴重漏洞，涵蓋檔案上傳、許可權提升、SQL 注入與 XSS 等攻擊面向。
此報告揭示 Protectel 軟體多項嚴重漏洞，提醒使用者及管理者即時升級以防止遠端執行及注入攻擊，並列出已修補版本，供系統管理員快速核對。
ARKETEAM Protectel 軟體中的漏洞
| CVE ID | CVE-2025-68391 |
| 釋出日期 | 30 October 2026 |
| 供應商 | ARKETEAM |
| 產品 | Protectel (模組 PROTECTELMAJ and BDF) |
| 易受攻擊版本 | 所有低於 6.5.19 (PROTECTELMAJ) 所有低於 6.4.67 (BDF) |
| 漏洞型別 (CWE) | 允許上傳危險型別檔案 (CWE-434) |
| 報告來源 | 報告給 CERT Polska |
| CVE ID | CVE-2025-68392 |
| 釋出日期 | 30 October 2026 |
| 供應商 | ARKETEAM |
| 產品 | Protectel (模組 PROTECTELMAJ and BDF) |
| 易受攻擊版本 | 所有低於 6.5.19 (PROTECTELMAJ) 所有低於 6.4.67 (BDF) |
| 漏洞型別 (CWE) | 授權不正確 (CWE-863) |
| 報告來源 | 報告給 CERT Polska |
| CVE ID | CVE-2025-68393 |
| 釋出日期 | 30 October 2026 |
| 供應商 | ARKETEAM |
| 產品 | Protectel (模組 PROTECTELMAJ and BDF) |
| 易受攻擊版本 | 所有低於 6.5.19 (PROTECTELMAJ) 所有低於 6.4.67 (BDF) |
| 漏洞型別 (CWE) | SQL 注入（特殊元素未正確中和） (CWE-89) |
| 報告來源 | 報告給 CERT Polska |
| CVE ID | CVE-2025-68394 |
| 釋出日期 | 30 October 2026 |
| 供應商 | ARKETEAM |
| 產品 | Protectel (模組 PROTECTELMAJ and BDF) |
| 易受攻擊版本 | 所有低於 6.5.19 (PROTECTELMAJ) 所有低於 6.4.67 (BDF) |
| 漏洞型別 (CWE) | SQL 注入（特殊元素未正確中和） (CWE-89) |
| 報告來源 | 報告給 CERT Polska |
| CVE ID | CVE-2025-68395 |
| 釋出日期 | 30 October 2026 |
| 供應商 | ARKETEAM |
| 產品 | Protectel (模組 PROTECTELMAJ and BDF) |
| 易受攻擊版本 | 所有低於 6.5.19 (PROTECTELMAJ) 所有低於 6.4.67 (BDF) |
| 漏洞型別 (CWE) | 網頁生成時未正確中和輸入（XSS 或 '跨站指令碼'） (CWE-79) |
| 報告來源 | 報告給 CERT Polska |
說明
CERT Polska 已收到關於 ARKETEAM Protectel 軟體漏洞的報告，並參與協調其披露。
The vulnerability CVE-2025-68391: ARKETEAM Protectel modules PROTECTELMAJ and BDF 易受任意檔案上傳攻擊。任何使用者均可上傳任意檔案並覆寫暫存資料夾中的現有檔案。此漏洞可能導致已驗證使用者下載上傳檔案時執行嵌入式 JavaScript 程式。
The vulnerability CVE-2025-68392: ARKETEAM Protectel modules PROTECTELMAJ and BDF 允許低許可權使用者透過偽造對特定端點的直接請求，使用原本僅供管理者使用的功能。
The vulnerability CVE-2025-68393: ARKETEAM Protectel modules PROTECTELMAJ and BDF 存在 SQL 注入漏洞。低許可權使用者提供的輸入在 Utilisateur 引數中未被正確中和，允許執行 SQL 注入攻擊。
漏洞 CVE-2025-68394：ARKETEAM Protectel 模組 PROTECTELMAJ 與 BDF 存在 SQL 注入漏洞。低許可權使用者提供的輸入未被適當中和，導致 profilInput 引數可被利用進行 SQL 注入攻擊。
漏洞 CVE-2025-68395：ARKETEAM Protectel 模組 PROTECTELMAJ 與 BDF 包含一個備註編輯器模組，易受儲存型 XSS 攻擊。低許可權攻擊者可將任意 HTML 與 JS 注入備註，當使用者瀏覽此模組時將被渲染/執行。
上述問題已於 PROTECTELMAJ v6.5.19 與 BDF v6.4.67 修正。
致謝
我們感謝 Karol Miring 提供負責任的漏洞報告。
更多關於 CERT Polska 協調性漏洞披露流程的資訊，可在 https://cert.pl/en/cvd/ 查閱。