CVE-2025-59793

Nome do Software Vulnerável e Versões Afetadas Versões do Rocket TRUfusion Enterprise até a 7.10.5

Descrição O Rocket TRUfusion Enterprise até a versão 7.10.5 possui uma vulnerabilidade de path traversal no serviço WsPortalV6UpDwAxis2Impl, acessível via endpoint da API /axis2/services/WsPortalV6UpDwAxis2Impl. A aplicação não sanitiza corretamente o parâmetro jobDirectory, permitindo que atacantes incluam sequências de path traversal. Isso permite a escrita de arquivos em locais arbitrários do sistema de arquivos local, potencialmente levando à execução remota de código. O problema pode ser encadeado com um Server-Side Request Forgery (SSRF) e credenciais padrão para alcançar execução remota de código pré-autenticação.

Recomendações Versões anteriores à 7.10.5 são vulneráveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.