CVE-2025-34076 in Microweber
Résumé
par VulDB • 16/06/2026
Une vulnérabilité d'inclusion de fichier locale (LFI) authentifiée existe dans les versions <= 1.2.11 du CMS Microweber en raison d'une mauvaise utilisation de l'API de gestion des sauvegardes. Les utilisateurs authentifiés peuvent abuser des points de terminaison /api/BackupV2/upload et /api/BackupV2/download pour lire des fichiers arbitraires depuis le système de fichiers sous-jacent. En spécifiant un chemin absolu dans le paramètre src de la requête d'upload, le serveur peut déplacer ou supprimer le fichier cible en fonction des privilèges de l'utilisateur du service web. Le point de terminaison de téléchargement correspondant peut ensuite être utilisé pour récupérer le contenu du fichier, permettant ainsi une divulgation effective de fichiers locaux (Local File Disclosure). Ce comportement découle d'une validation insuffisante des chemins fournis par les utilisateurs et de restrictions inadéquates sur l'accès aux fichiers et la logique de sauvegarde.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.