CVE-2025-34076 in Microweber
Sumário
de VulDB • 16/06/2026
Existe uma vulnerabilidade de inclusão local de arquivos (Local File Inclusion) autenticada no Microweber CMS versões <= 1.2.11 devido ao uso indevido da API de gerenciamento de backups. Usuários autenticados podem abusar dos endpoints /api/BackupV2/upload e /api/BackupV2/download para ler arquivos arbitrários do sistema de arquivos subjacente. Ao especificar um caminho absoluto de arquivo no parâmetro src da solicitação de upload, o servidor pode mover ou excluir o arquivo alvo dependendo das permissões do usuário do serviço web. O endpoint correspondente de download pode então ser usado para recuperar o conteúdo do arquivo, permitindo efetivamente a divulgação local de arquivos (Local File Disclosure). Esse comportamento decorre da validação insuficiente dos caminhos fornecidos pelo usuário e de restrições inadequadas no acesso aos arquivos e na lógica de backup.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.