CVE-2025-13282

WysokieCVSS 8.1

Opublikowano: 17/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

TenderDocTransfer opracowany przez Chunghwa Telecom ma podatność na arbitralne usuwanie plików. Aplikacja uruchamia prosty lokalny serwer WWW i udostępnia API do komunikacji z docelową witryną. Z powodu braku ochrony CSRF w API, nieuwierzytelnieni zdalni atakujący mogą wykorzystać te API poprzez phishing. Dodatkowo, jedno z API zawiera podatność na absolutne przechodzenie ścieżek, co pozwala atakującym usuwać dowolne pliki w systemie użytkownika.

Ocena ryzyka

Ryzyko obejmuje możliwość zdalnego usunięcia dowolnych plików w systemie użytkownika, co może prowadzić do utraty danych, naruszenia integralności systemu i potencjalnie do eskalacji uprawnień.

Rekomendacja

Zaleca się natychmiastowe wdrożenie ochrony CSRF w API oraz naprawę podatności na przechodzenie ścieżek, a także poinformowanie użytkowników o ryzyku phishingu.

Inne podatności w TenderDocTransfer

CVE-2025-13283Wysokie
TenderDocTransfer opracowany przez Chunghwa Telecom ma podatność na dowolne kopiowanie i wklejanie plików. Aplikacja uruchamia prosty lokalny serwer WWW i udostępnia API do komunikacji z docelową witryną. Z powodu braku ochrony CSRF w API, nieuwierzytelnieni zdalni atakujący mogą wykorzystać te API poprzez phishing. Dodatkowo jedno z API zawiera podatność na absolutne przechodzenie po ścieżce. Atakujący mogą kopiować dowolne pliki z systemu użytkownika i wklejać je do dowolnej ścieżki, co stwarza ryzyko wycieku informacji lub zużycia miejsca na dysku.

Oryginalny opis (angielski, źródło NVD)

TenderDocTransfer developed by Chunghwa Telecom has a Arbitrary File Delete vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability, allowing attackers to delete arbitrary files on the user's system.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS