Podatności wykryte w oprogramowaniu STER

Ostrzeżenie dotyczące podatności w oprogramowaniu STER

CERT Polska wyłożył kawę na ławę: w programie STER znaleziono kilka dziur. Korzysta z niego Centralny Instytut Ochrony Pracy – Państwowy Instytut Badawczy. Chodzi o bezpieczeństwo danych.

Problem dotyczy wersji starszych niż 9.5. Zgłoszenia trafiły do CERT Polska. Wszystko naprawiono w wersji 9.5.

CVE-2026-25606: SQL Injection

Ktoś z dostępem do systemu może wyciągnąć wrażliwe dane. Wystarczy błąd w filtrach wyszukiwania. I tu właśnie jest haczyk. Atakujący przejmie informacje innych użytkowników lub pliki aplikacji.

CVE-2026-25607: Słabe kodowanie haseł

Sposób szyfrowania haseł w STER to żart. Algorytm jest zbyt słaby. Analiza znanych wartości pozwala szybko odgadnąć resztę.

CVE-2026-25608: Nieszyfrowana transmisja danych

Dane w sieci latają bez żadnego szyfrowania. To otwiera drzwi dla ataku Man-in-the-Middle. Można przejąć hasła, tokeny i dane osobowe.

Proces ujawniania luk koordynował CERT Polska. Michelin CERT zgłosiło błędy. Więcej szczegółów znajdziecie na stronie https://cert.pl/cvd/.

Wszystkie luki w systemie zostały już skutecznie załatane przez twórców.

Źródło: CERT