CVE-2025-14520
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność w baowzh hfly do wersji 638ff9abe9078bc977c132b37acbe1900b63491c dotyczy nieznanej funkcji w pliku /admin/index.php/datafile/delfile. Manipulacja argumentem filename powoduje path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Ryzyko obejmuje zdalny dostęp do dowolnych plików na serwerze, co może prowadzić do ujawnienia poufnych danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do panelu administracyjnego oraz wdrożenie poprawek od producenta. Należy również monitorować logi pod kątem nietypowych żądań.
Inne podatności w baowzh hfly
Zobacz wszystkie- CVE-2025-14522Średnie
Wykryto podatność w baowzh hfly do wersji 638ff9abe9078bc977c132b37acbe1900b63491c. Podatny element to nieznana funkcja w pliku /Public/Kindeditor/php/upload_json.php. Manipulacja argumentem imgFile prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2025-14521Średnie
Podatność w baowzh hfly do wersji 638ff9abe9078bc977c132b37acbe1900b63491c dotyczy nieznanej funkcji w pliku /admin/index.php/datafile/download. Manipulacja argumentem filename prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in baowzh hfly up to 638ff9abe9078bc977c132b37acbe1900b63491c. Impacted is an unknown function of the file /admin/index.php/datafile/delfile. This manipulation of the argument filename causes path traversal. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be exploited. This product adopts a rolling release strategy to maintain continuous delivery The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS