CVE-2025-56295
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie Computer Laboratory System 1.0 wykryto podatność na wgrywanie złośliwych plików. Personel może przesłać pliki backdoora PHP podczas modyfikacji awatara, a następnie uzyskać zdalny dostęp do serwera za pomocą narzędzi typu web shell.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować dodatkowe złośliwe oprogramowanie, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast ograniczyć możliwość przesyłania plików wykonywalnych (np. PHP) w profilu użytkownika oraz wdrożyć walidację typu pliku i skanowanie antywirusowe.
Inne podatności w Computer Laboratory System
Zobacz wszystkie- CVE-2025-60307Krytyczne
W systemie Computer Laboratory System 1.0 od code-projects wykryto podatność na wstrzykiwanie SQL. Poprzez wprowadzenie uniwersalnego hasła w polu Password na stronie logowania można ominąć proces uwierzytelniania.
- CVE-2025-14642Średnie
W systemie Computer Laboratory System 1.0 od code-projects znaleziono podatność w pliku technical_staff_pic.php, gdzie manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-14641Średnie
W systemie Computer Laboratory System 1.0 od code-projects znaleziono podatność w pliku admin/admin_pic.php, gdzie manipulacja argumentem image powoduje nieograniczone przesyłanie plików. Atak może być inicjowany zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
code-projects Computer Laboratory System 1.0 has a file upload vulnerability. Staff can upload malicious files by uploading PHP backdoor files when modifying personal avatar information and use web shell connection tools to obtain server permissions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS