PT-2025-11598

CVE-2025-2490

·

Publicado

2025-03-18

·

Atualizado

2025-11-06

Descrição por

CVSS 3.1
5.4
Média
MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas Dromara ujcms versão 9.7.5
Descrição Um problema foi identificado no componente de Upload de Arquivos, especificamente na função uploadZip/upload do arquivo WebFileUploadController.java. Este problema resulta em cross-site scripting e pode ser explorado remotamente. O exploit foi divulgado publicamente.
Recomendações Para o Dromara ujcms versão 9.7.5, considere desabilitar a função uploadZip/upload do arquivo WebFileUploadController.java como uma solução temporária para minimizar o risco de exploração. Restrinja o acesso ao componente de Upload de Arquivos para reduzir a superfície de ataque até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-94: Improper Control of Generation of Code (\'Code Injection\')
CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')
Identificadores relacionados
CVE-2025-2490
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com