CVE-2022-37700
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Podatność typu Directory Traversal w Zentao Demo15 umożliwia zdalne odczytywanie poufnych informacji poprzez manipulację URL. Atakujący może uzyskać dostęp do plików konfiguracyjnych systemu.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych konfiguracyjnych, co może prowadzić do dalszych ataków na system.
Rekomendacja
Należy natychmiast zaktualizować Zentao do najnowszej wersji oraz ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w Zentao
Zobacz wszystkie- CVE-2025-13789Średnie
Wykryto podatność w ZenTao do wersji 21.7.6-8564. Funkcja makeRequest w pliku module/ai/model.php pozwala na manipulację argumentem Base, co prowadzi do podatności typu Server-Side Request Forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-13787Średnie
W produkcie ZenTao do wersji 21.7.6-8564 wykryto błąd w funkcji file::delete pliku module/file/control.php komponentu File Handler. Manipulacja argumentem fileID prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 21.7.7 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
Zentao Demo15 is vulnerable to Directory Traversal. The impact is: obtain sensitive information (remote). The component is: URL : view-source:https://demo15.zentao.pm/user-login.html/zentao/index.php?mode=getconfig.