Katalog CVE
CVE-2025-63695
KrytyczneStreszczenie
DzzOffice w wersji 2.3.7 i wcześniejszych jest podatny na dowolne przesyłanie plików w /dzz/system/ueditor/php/controller.php.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu i pełnego przejęcia aplikacji przez atakującego.
Rekomendacja
Zaleca się aktualizację do wersji z poprawką oraz wdrożenie walidacji przesyłanych plików.
Inne podatności w DzzOffice
Zobacz wszystkie- CVE-2025-63694Krytyczne
DzzOffice w wersji 2.3.7 i wcześniejszych jest podatny na wstrzyknięcie SQL w explorer/groupmanage.
- CVE-2022-43340Wysokie
W systemie dzzoffice 2.02.1_SC_UTF8 wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Umożliwia ona atakującym tworzenie kont użytkowników oraz nadawanie uprawnień administratora zwykłym użytkownikom bez ich wiedzy.
Oryginalny opis (angielski, źródło NVD)
DzzOffice v2.3.7 and before is vulnerable to Arbitrary File Upload in /dzz/system/ueditor/php/controller.php.