PT-2026-3368

CVE-2026-1061

Publicado

2026-01-17

Atualizado

2026-03-08

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do xiweicheng TMS anteriores à 2.28.0

Descrição Existe uma falha no xiweicheng TMS que permite upload de arquivos sem restrições. Isso se deve à manipulação do argumento filename dentro da função Upload localizada no arquivo src/main/java/com/lhjz/portal/controller/FileController.java. O ataque pode ser iniciado remotamente. O exploit está disponível publicamente.

Recomendações Atualize para uma versão superior à 2.28.0. Como solução temporária, restrinja o acesso à função Upload em src/main/java/com/lhjz/portal/controller/FileController.java.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Youran

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-284: Improper Access Control

CWE-434: Unrestricted Upload of File with Dangerous Type

Identificadores relacionados