CVE-2025-15448
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wykryto podatność w projekcie JavaMall (cld378632668) w funkcji Upload w pliku MinioController.java. Manipulacja danymi wejściowymi pozwala na nieograniczone przesyłanie plików, a atak można przeprowadzić zdalnie. Produkt stosuje model wydań ciągłych (rolling releases), więc szczegóły wersji nie są dostępne, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Nieograniczone przesyłanie plików może pozwolić atakującemu na umieszczenie złośliwego kodu na serwerze, co grozi zdalnym wykonaniem kodu i pełnym przejęciem systemu. Ryzyko jest wysokie, ponieważ atak jest możliwy zdalnie i nie wymaga uwierzytelnienia.
Rekomendacja
Należy natychmiast zweryfikować i ograniczyć funkcję Upload w MinioController.java, wprowadzając walidację typu i rozmiaru plików oraz uwierzytelnianie. Jeśli to możliwe, zaktualizować do najnowszej wersji lub zastosować obejście do czasu wydania poprawki.
Inne podatności w JavaMall
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in cld378632668 JavaMall up to 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0. This impacts the function Upload of the file src/main/java/com/macro/mall/controller/MinioController.java. The manipulation results in unrestricted upload. It is possible to launch the attack remotely. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS