CVE-2025-13283
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
TenderDocTransfer opracowany przez Chunghwa Telecom ma podatność na dowolne kopiowanie i wklejanie plików. Aplikacja uruchamia prosty lokalny serwer WWW i udostępnia API do komunikacji z docelową witryną. Z powodu braku ochrony CSRF w API, nieuwierzytelnieni zdalni atakujący mogą wykorzystać te API poprzez phishing. Dodatkowo jedno z API zawiera podatność na absolutne przechodzenie po ścieżce. Atakujący mogą kopiować dowolne pliki z systemu użytkownika i wklejać je do dowolnej ścieżki, co stwarza ryzyko wycieku informacji lub zużycia miejsca na dysku.
Ocena ryzyka
Ryzyko obejmuje możliwość wycieku poufnych plików z systemu użytkownika lub zużycie przestrzeni dyskowej przez masowe kopiowanie plików. Atakujący może uzyskać dostęp do wrażliwych danych lub spowodować awarię systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez producenta oraz wdrożenie mechanizmów ochrony CSRF w API. Należy również ograniczyć dostęp do aplikacji i monitorować aktywność sieciową.
Inne podatności w TenderDocTransfer
Oryginalny opis (angielski, źródło NVD)
TenderDocTransfer developed by Chunghwa Telecom has a Arbitrary File Copy and Paste vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability. Attackers can copy arbitrary files on the user's system and paste them into any path, which poses a potential risk of information leakage or could consume hard drive space by copying files in large volumes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS