CVE-2025-34076
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Microweber CMS w wersjach do 1.2.11 zawiera podatność lokalnego dołączania plików poprzez niewłaściwe użycie API zarządzania kopiami zapasowymi. Uwierzytelnieni użytkownicy mogą wykorzystać endpointy /api/BackupV2/upload i /api/BackupV2/download do odczytu dowolnych plików z systemu plików, podając ścieżkę bezwzględną w parametrze src. Może to prowadzić do ujawnienia zawartości plików.
Ocena ryzyka
Atakujący może odczytać wrażliwe pliki z serwera, takie jak pliki konfiguracyjne, dane uwierzytelniające lub dane użytkowników, co może naruszyć poufność systemu.
Rekomendacja
Zaleca się aktualizację Microweber CMS do najnowszej wersji, która zawiera poprawkę, oraz ograniczenie dostępu do API tylko dla zaufanych użytkowników.
Inne podatności w Microweber CMS
Zobacz wszystkie- CVE-2014-9464Wysokie
W Microweber CMS w wersji 0.95 przed 20141209 występuje podatność na wstrzykiwanie SQL w pliku Category.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr category.
- CVE-2026-67617Średnie
Microweber CMS do wersji 2.0.20 zawiera podatność na trwałe XSS w systemie tagowania treści. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript przez parametr tag_names w endpoint GET /api/save_content_admin, omijając trzy niezależne mechanizmy sanityzacji. Wstrzyknięty skrypt wykonuje się bez interakcji użytkownika dla każdego odwiedzającego publiczną stronę bloga oraz w edytorze postów admina.
- CVE-2026-65693Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Uwierzytelniony administrator może uzyskać zdalne wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie wyrażeń Twig do szablonów poczty.
- CVE-2026-65694Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność path traversal w kontrolerze plików statycznych. Nieuwierzytelniony atakujący może odczytać dowolne pliki, podając sekwencje traversal w parametrze path.
Oryginalny opis (angielski, źródło NVD)
An authenticated local file inclusion vulnerability exists in Microweber CMS versions <= 1.2.11 through misuse of the backup management API. Authenticated users can abuse the /api/BackupV2/upload and /api/BackupV2/download endpoints to read arbitrary files from the underlying filesystem. By specifying an absolute file path in the src parameter of the upload request, the server may relocate or delete the target file depending on the web service user’s privileges. The corresponding download endpoint can then be used to retrieve the file contents, effectively enabling local file disclosure. This behavior stems from insufficient validation of user-supplied paths and inadequate restrictions on file access and backup logic.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS