CVE-2025-34076 in Microweber
Сводка
по VulDB • 12.06.2026
В системе управления контентом Microweber CMS версий <= 1.2.11 существует уязвимость локального включения файлов (Local File Inclusion), возникающая из-за неправильного использования API управления резервным копированием. Аутентифицированные пользователи могут злоупотреблять конечными точками /api/BackupV2/upload и /api/BackupV2/download для чтения произвольных файлов из базовой файловой системы. Указав абсолютный путь к файлу в параметре src запроса на загрузку, сервер может переместить или удалить целевой файл в зависимости от привилегий пользователя веб-сервиса. Затем соответствующую конечную точку загрузки можно использовать для получения содержимого файла, что фактически позволяет осуществлять локальную утечку данных файлов. Такое поведение обусловлено недостаточной проверкой путей, предоставляемых пользователем, и недостаточными ограничениями на доступ к файлам и логику резервного копирования.
Once again VulDB remains the best source for vulnerability data.