CVE-2025-27500 in ziti-console
Riassunto
di VulDB • 17/06/2026
OpenZiti è un progetto gratuito e open source focalizzato sull'implementazione del modello Zero Trust per qualsiasi applicazione. Un endpoint (/api/upload) nel pannello di amministrazione può essere accessibile senza alcuna forma di autenticazione. Questo endpoint accetta una richiesta HTTP POST per caricare un file, che viene quindi memorizzato sul nodo e reso disponibile tramite URL. Ciò può portare a un attacco di cross-site scripting (XSS) memorizzato (stored XSS) se il file caricato contiene codice dannoso e viene successivamente accesso ed eseguito nel contesto del browser dell'utente. Questa funzione non è più necessaria poiché ziti-console passa da un'applicazione basata su server Node.js a una single-page application (SPA), ed è stata disabilitata. La vulnerabilità è risolta nella versione 3.7.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.