CVE-2025-15449

ŚrednieCVSS 5.4

Opublikowano: 05/01/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.75%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

Wykryto podatność w cld378632668 JavaMall do wersji 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0. Dotyczy ona funkcji delete w pliku src/main/java/com/macro/mall/controller/MinioController.java. Manipulacja argumentem objectName powoduje path traversal. Atak można zainicjować zdalnie. Produkt używa ciągłego dostarczania z wydaniami rolling release, więc szczegóły wersji nie są dostępne. Dostawca został powiadomiony, ale nie odpowiedział.

Ocena ryzyka

Zdalny atakujący może wykorzystać path traversal do dostępu do plików poza zamierzonym katalogiem, co może prowadzić do ujawnienia lub modyfikacji danych. Organizacje korzystające z JavaMall są narażone na ataki.

Rekomendacja

Monitoruj aktualizacje od dostawcy i zastosuj środki zaradcze, takie jak walidacja ścieżek. Rozważ alternatywne rozwiązania, jeśli poprawka nie jest dostępna.

Inne podatności w JavaMall

CVE-2025-15448Średnie
Wykryto podatność w projekcie JavaMall (cld378632668) w funkcji Upload w pliku MinioController.java. Manipulacja danymi wejściowymi pozwala na nieograniczone przesyłanie plików, a atak można przeprowadzić zdalnie. Produkt stosuje model wydań ciągłych (rolling releases), więc szczegóły wersji nie są dostępne, a producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in cld378632668 JavaMall up to 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0. Affected is the function delete of the file src/main/java/com/macro/mall/controller/MinioController.java. This manipulation of the argument objectName causes path traversal. The attack can be initiated remotely. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS