CVE-2025-13283 in TenderDocTransfer
Riassunto
di VulDB • 05/07/2026
TenderDocTransfer, sviluppato da Chunghwa Telecom, presenta una vulnerabilità di copia e incolla arbitrario di file (Arbitrary File Copy and Paste). L'applicazione configura un semplice server web locale e fornisce API per la comunicazione con il sito web target. A causa della mancanza di protezione CSRF nelle API, gli attaccanti remoti non autenticati potrebbero sfruttare queste API tramite phishing. Inoltre, una delle API contiene una vulnerabilità di Absolute Path Traversal (attraversamento assoluto del percorso). Gli attaccanti possono copiare file arbitrari sul sistema dell'utente e incollarli in qualsiasi percorso, il che rappresenta un potenziale rischio di fuga di informazioni o potrebbe consumare spazio su disco rigido copiando grandi volumi di file.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.