CVE-2025-34076

Microweber CMS versiyaları <= 1.2.11-də ehtiyat nüsxələrin idarəetmə API-nin yanlış istifadəsi nəticəsində autentifikasiya olunmuş lokal faylların daxil edilməsi (local file inclusion) zəifliyi mövcuddur. Autentifikasiya olunmuş istifadəçilər alt fayl sistemindən ixtiyari faylları oxumaq üçün /api/BackupV2/upload və /api/BackupV2/download son nöqtələrini sui-istifadə edə bilərlər. Yükləmə sorğusunun src parametrində mütləq fayl yolu göstərməklə, veb servis istifadəçisinin imtiyazlarından asılı olaraq server hədəf faylı yerini dəyişdirə və ya silə bilər. Daha sonra müvafiq yükləmə son nöqtəsi faylın məzmununu əldə etmək üçün istifadə edilə bilər ki, bu da effektiv şəkildə lokal faylların açıqlanmasına (local file disclosure) imkan verir. Bu davranış, istifadəçi tərəfindən təqdim edilən yolların kifayət qədər yoxlanılmaması, habelə fayla giriş və ehtiyat nüsxə məntiqinə dair məhdudiyyətlərin yetərsizliyindən qaynaqlanır.