CVE-2025-13787
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W produkcie ZenTao do wersji 21.7.6-8564 wykryto błąd w funkcji file::delete pliku module/file/control.php komponentu File Handler. Manipulacja argumentem fileID prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 21.7.7 rozwiązuje problem.
Ocena ryzyka
Nieprawidłowe zarządzanie uprawnieniami może pozwolić nieautoryzowanemu użytkownikowi na usunięcie plików, do których nie powinien mieć dostępu, co może prowadzić do utraty danych lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować ZenTao do wersji 21.7.7 lub nowszej, aby wyeliminować podatność.
Inne podatności w ZenTao
Zobacz wszystkie- CVE-2025-13789Średnie
Wykryto podatność w ZenTao do wersji 21.7.6-8564. Funkcja makeRequest w pliku module/ai/model.php pozwala na manipulację argumentem Base, co prowadzi do podatności typu Server-Side Request Forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2022-37700Wysokie
Podatność typu Directory Traversal w Zentao Demo15 umożliwia zdalne odczytywanie poufnych informacji poprzez manipulację URL. Atakujący może uzyskać dostęp do plików konfiguracyjnych systemu.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in ZenTao up to 21.7.6-8564. The affected element is the function file::delete of the file module/file/control.php of the component File Handler. Executing manipulation of the argument fileID can lead to improper privilege management. It is possible to launch the attack remotely. Upgrading to version 21.7.7 is sufficient to fix this issue. You should upgrade the affected component.