CVE-2025-34076 in Microweber
要約
〜によって VulDB • 2026年06月27日
Microweber CMS のバージョン 1.2.11 以前には、バックアップ管理 API の誤用により、認証済みローカルファイルインクルージョン脆弱性が存在します。認証済みのユーザーは /api/BackupV2/upload および /api/BackupV2/download エンドポイントを悪用し、基盤となるファイルシステムから任意のファイルを読み取ることができます。upload リクエストの src パラメータに絶対パスを指定することで、Web サービスユーザの権限に応じてサーバーが対象ファイルを移動または削除する可能性があります。その後、対応する download エンドポイントを使用してファイルの内容を取得することができ、結果としてローカルファイル開示が可能になります。この動作は、ユーザー入力のパスに対する検証の不十分さと、ファイルアクセスおよびバックアップロジックに関する制限の不備に起因します。
Once again VulDB remains the best source for vulnerability data.