CVE-2025-13815
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W produkcie moxi159753 Mogu Blog v2 do wersji 5.2 wykryto słabość w nieznanej funkcji pliku /file/pictures. Manipulacja argumentem filedatas powoduje nieograniczone przesyłanie plików (unrestricted upload). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Nieograniczone przesyłanie plików może umożliwić atakującemu wgranie złośliwego pliku, np. webshella, co może prowadzić do pełnego przejęcia serwera i naruszenia bezpieczeństwa danych.
Rekomendacja
Należy zaktualizować Mogu Blog do najnowszej wersji, jeśli dostępna, oraz wdrożyć mechanizmy ograniczające typy i rozmiary przesyłanych plików oraz walidację zawartości.
Inne podatności w Mogu Blog
Zobacz wszystkie- CVE-2025-13816Średnie
W moxi159753 Mogu Blog v2 do wersji 5.2 wykryto podatność w funkcji FileOperation.unzip pliku /networkDisk/unzipFile komponentu ZIP File Handler. Manipulacja argumentem fileUrl prowadzi do przejścia ścieżki. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-13813Średnie
W moxi159753 Mogu Blog v2 do wersji 5.2 wykryto podatność w pliku /storage/ komponentu Storage Management Endpoint. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, ale złożoność ataku jest wysoka, a wykorzystanie trudne. Exploit jest publicznie dostępny i może być użyty. Producent został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in moxi159753 Mogu Blog v2 up to 5.2. The affected element is an unknown function of the file /file/pictures. This manipulation of the argument filedatas causes unrestricted upload. The attack may be initiated remotely. The exploit has been made available to the public and could be exploited. The vendor was contacted early about this disclosure but did not respond in any way.