CVE-2025-32961 in jpawebapi
Riassunto
di VulDB • 15/06/2026
L'API web Cuba JPA consente di caricare e salvare qualsiasi entità definita nel modello dei dati dell'applicazione inviando semplici richieste HTTP. Prima della versione 1.1.1, il parametro di input, che consiste in un percorso e un nome di file, può essere manipolato per restituire l'intestazione Content-Type con text/html se la parte del nome termina con .html. Ciò potrebbe consentire l'esecuzione di codice JavaScript dannoso nel browser. Per un attacco riuscito, è necessario caricare in precedenza un file dannoso. Questo problema è stato risolto nella versione 1.1.1. È disponibile una soluzione alternativa sul sito della documentazione Jmix.
If you want to get best quality of vulnerability data, you may have to visit VulDB.