CVE-2025-13789
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wykryto podatność w ZenTao do wersji 21.7.6-8564. Funkcja makeRequest w pliku module/ai/model.php pozwala na manipulację argumentem Base, co prowadzi do podatności typu Server-Side Request Forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność SSRF może umożliwić atakującemu wysyłanie żądań do wewnętrznych zasobów, co może prowadzić do ujawnienia danych lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację do wersji 21.7.6, która usuwa tę podatność.
Inne podatności w ZenTao
Zobacz wszystkie- CVE-2025-13787Średnie
W produkcie ZenTao do wersji 21.7.6-8564 wykryto błąd w funkcji file::delete pliku module/file/control.php komponentu File Handler. Manipulacja argumentem fileID prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 21.7.7 rozwiązuje problem.
- CVE-2022-37700Wysokie
Podatność typu Directory Traversal w Zentao Demo15 umożliwia zdalne odczytywanie poufnych informacji poprzez manipulację URL. Atakujący może uzyskać dostęp do plików konfiguracyjnych systemu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in ZenTao up to 21.7.6-8564. This affects the function makeRequest of the file module/ai/model.php. The manipulation of the argument Base results in server-side request forgery. The attack can be launched remotely. The exploit has been made public and could be used. Upgrading to version 21.7.6 mitigates this issue. It is suggested to upgrade the affected component.