CVE-2025-34076 in Microweber
Tóm tắt
Bởi VulDB • 11/06/2026
Một lỗ hổng bao gồm tệp cục bộ (Local File Inclusion) đã được xác thực tồn tại trong Microweber CMS các phiên bản <= 1.2.11 do sử dụng sai cách API quản lý bản sao lưu. Người dùng đã xác thực có thể lợi dụng các điểm cuối /api/BackupV2/upload và /api/BackupV2/download để đọc các tệp tùy ý từ hệ thống tệp cơ sở. Bằng cách chỉ định một đường dẫn tệp tuyệt đối trong tham số src của yêu cầu tải lên, máy chủ có thể di chuyển hoặc xóa tệp mục tiêu tùy thuộc vào đặc quyền của người dùng dịch vụ web. Sau đó, điểm cuối tải xuống tương ứng có thể được sử dụng để truy xuất nội dung tệp, về cơ bản cho phép tiết lộ tệp cục bộ. Hành vi này bắt nguồn từ việc xác thực không đầy đủ các đường dẫn do người dùng cung cấp và các hạn chế không đủ đối với quyền truy cập tệp và logic sao lưu.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.