CVE-2025-13813
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W moxi159753 Mogu Blog v2 do wersji 5.2 wykryto podatność w pliku /storage/ komponentu Storage Management Endpoint. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, ale złożoność ataku jest wysoka, a wykorzystanie trudne. Exploit jest publicznie dostępny i może być użyty. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Pomimo wysokiej złożoności, brak autoryzacji może pozwolić atakującemu na nieautoryzowany dostęp do zarządzania plikami, co może prowadzić do ujawnienia lub modyfikacji danych.
Rekomendacja
Zastosuj dostępne poprawki lub ogranicz dostęp do /storage/ tylko dla uwierzytelnionych użytkowników. Jeśli producent nie wydał poprawki, rozważ wdrożenie dodatkowych mechanizmów autoryzacji.
Inne podatności w Mogu Blog
Zobacz wszystkie- CVE-2025-13816Średnie
W moxi159753 Mogu Blog v2 do wersji 5.2 wykryto podatność w funkcji FileOperation.unzip pliku /networkDisk/unzipFile komponentu ZIP File Handler. Manipulacja argumentem fileUrl prowadzi do przejścia ścieżki. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-13815Średnie
W produkcie moxi159753 Mogu Blog v2 do wersji 5.2 wykryto słabość w nieznanej funkcji pliku /file/pictures. Manipulacja argumentem filedatas powoduje nieograniczone przesyłanie plików (unrestricted upload). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in moxi159753 Mogu Blog v2 up to 5.2. This issue affects some unknown processing of the file /storage/ of the component Storage Management Endpoint. The manipulation leads to missing authorization. The attack can be initiated remotely. The attack's complexity is rated as high. The exploitability is assessed as difficult. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.