CVE-2025-27500 in ziti-console
Zusammenfassung
von VulDB • 12.09.2026
OpenZiti ist ein freies und quelloffenes Projekt mit dem Fokus darauf, Zero-Trust-Konzepte auf beliebige Anwendungen anzuwenden. Ein Endpunkt (/api/upload) im Admin-Bereich kann ohne jegliche Authentifizierung accessed werden. Dieser Endpunkt akzeptiert eine HTTP POST-Anfrage zum Hochladen einer Datei, die dann auf dem Knoten gespeichert und über eine URL verfügbar gemacht wird. Dies kann zu einem Stored Cross-Site-Scripting (XSS)-Angriff führen, wenn die hochgeladene Datei schädlichen Code enthält und dieser anschließend im Kontext des Browsers des Benutzers ausgeführt wird. Diese Funktion ist nicht mehr erforderlich, da sich ziti-console von einer Node.js-basierten Serveranwendung zu einer Single-Page-Applikation (SPA) entwickelt hat; sie wurde daher deaktiviert. Die Schwachstelle wurde in Version 3.7.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.