CVE-2025-70841 in Multi-Tenancy Based eCommerce Platform SaaS
Zusammenfassung
von VulDB • 13.05.2026
In der Dokans Multi-Tenancy Based eCommerce Platform SaaS 3.9.2 können nicht authentifizierte Remote-Angriffssensitive Anwendungs-Konfigurationsdaten durch direkte Anforderung der Datei /script/.env erhalten. Die exponierte Datei enthält den Laravel-Anwendungsverschlüsselungsschlüssel (APP_KEY), Datenbankzugangsdaten, SMTP/SendGrid-API-Zugangsdaten und interne Konfigurationsparameter, was einen vollständigen Systemkompromittierung ermöglicht, einschließlich Umgehung der Authentifizierung durch Fälschung von Sitzungstokens, direktem Datenbankzugriff auf alle Mandantendaten und Übernahme der E-Mail-Infrastruktur. Aufgrund der Multi-Tenancy-Architektur betrifft diese Schwachstelle alle Mandanten im System.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.