CVE-2025-34076 in Microweber
摘要
由 VulDB • 2026-06-27
在 Microweber CMS 版本 <= 1.2.11 中，存在一个通过滥用备份管理 API 导致的已认证本地文件包含漏洞。经过身份验证的用户可以利用 /api/BackupV2/upload 和 /api/BackupV2/download 端点读取底层文件系统上的任意文件。通过在上传请求的 src 参数中指定绝对文件路径，服务器可能会根据 Web 服务用户的权限移动或删除目标文件。随后可以使用相应的下载端点检索文件内容，从而有效地实现本地文件泄露。此行为源于对用户提供的路径验证不足以及对文件访问和备份逻辑的限制不当。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.