CVE-2025-34046
Təsvir
Fanwei E-Office <= v9.4 veb idarəetmə interfeysində autentifikasiyasız fayl yükləmə zəifliyi mövcuddur. Zəiflik müəyyən parametrlərlə (uploadType=eoffice_logo və ya uploadType=theme) çağırıldıqda yüklənən faylları düzgün şəkildə yoxlamayan /general/index/UploadFile.php son nöqtəsinə təsir edir. Hücumçu, autentifikasiya tələb olunmadan ixtiyari faylları yükləmək üçün xüsusi hazırlanmış HTTP POST sorğusu göndərərək bu boşluqdan istifadə edə bilər. Uğurlu istismar təsirlənmiş serverdə uzaqdan kodun icrasına şərait yarada bilər ki, bu da veb tətbiqin və potensial olaraq alt sistemin tamamilə ələ keçirilməsinə səbəb olar. İstismarın sübutları Shadowserver Foundation tərəfindən 2025-02-05 UTC tarixində müşahidə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Shanghai Fanwei Network Technology E-Office | v ≤ 9.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.