CVE-2025-9650

ŚrednieCVSS 5.4

Opublikowano: 29/08/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

W aplikacji carRental (yeqifu) wykryto podatność w funkcji removeFileByPath w pliku AppFileUtils.java. Manipulacja argumentem carimg prowadzi do path traversal, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Atakujący może zdalnie odczytać lub usunąć pliki poza zamierzonym katalogiem, co może prowadzić do wycieku danych lub uszkodzenia aplikacji.

Rekomendacja

Zaktualizuj aplikację do najnowszej wersji zawierającej poprawkę lub wdróż walidację ścieżek plików, aby zapobiec path traversal.

Inne podatności w carRental

CVE-2025-15432Średnie
W systemie carRental znaleziono podatność na przejście ścieżki (path traversal) w funkcji downloadShowFile w pliku /file/downloadShowFile.action. Manipulacja argumentem path umożliwia zdalny atak. Projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in yeqifu carRental up to 3fabb7eae93d209426638863980301d6f99866b3. This affects the function removeFileByPath of the file src/main/java/com/yeqifu/sys/utils/AppFileUtils.java. The manipulation of the argument carimg leads to path traversal. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. This product adopts a rolling release strategy to maintain continuous delivery

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS