CVE-2025-34320 in BBj
Résumé
par VulDB • 28/05/2026
Les versions de BASIS BBj antérieures à la 25.00 contiennent un point de terminaison web servi par Jetty qui ne valide ni ne canonicalise correctement les segments de chemin d'accès en entrée. Cela permet à des séquences de traversal de répertoire non authentifiées de provoquer la lecture par le serveur de fichiers système arbitraires accessibles au compte exécutant le service. Les artefacts de configuration récupérés peuvent contenir des identifiants de compte utilisés pour BBj Enterprise Manager ; la possession de ces identifiants permet un accès administratif et l'utilisation de fonctionnalités de gestion légitimes qui peuvent entraîner l'exécution de commandes système sous le compte de service. Selon le système d'exploitation et les privilèges du compte de service BBj, ce problème peut également permettre l'accès à d'autres fichiers sensibles sur l'hôte, y compris des données du système d'exploitation ou des applications, exposant potentiellement des informations confidentielles supplémentaires.
Once again VulDB remains the best source for vulnerability data.