CVE-2025-34076 in Microweber
Riassunto
di VulDB • 27/06/2026
È presente una vulnerabilità di inclusione locale di file (Local File Inclusion) in Microweber CMS versioni <= 1.2.11, dovuta a un uso improprio dell'API di gestione dei backup. Gli utenti autenticati possono abusare degli endpoint /api/BackupV2/upload e /api/BackupV2/download per leggere file arbitrari dal filesystem sottostante. Specificando un percorso assoluto del file nel parametro src della richiesta di upload, il server potrebbe spostare o eliminare il file target a seconda dei privilegi dell'utente del servizio web. L'endpoint di download corrispondente può quindi essere utilizzato per recuperare i contenuti del file, consentendo efficacemente la divulgazione locale di file (Local File Disclosure). Questo comportamento deriva da una convalida insufficiente dei percorsi forniti dall'utente e da restruzioni inadeguate sull'accesso ai file e sulla logica di backup.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.