PT-2025-11598 · Dromara · Dromara Ujcms

Icefoxh · Publicado 2025-03-18 · Atualizado 2025-11-06 · CVE-2025-2490

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Dromara ujcms versão 9.7.5

Descrição Um problema foi identificado no componente de Upload de Arquivos, especificamente na função uploadZip/upload do arquivo WebFileUploadController.java. Este problema resulta em cross-site scripting e pode ser explorado remotamente. O exploit foi divulgado publicamente.

Recomendações Para o Dromara ujcms versão 9.7.5, considere desabilitar a função uploadZip/upload do arquivo WebFileUploadController.java como uma solução temporária para minimizar o risco de exploração. Restrinja o acesso ao componente de Upload de Arquivos para reduzir a superfície de ataque até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Code Injection

Enumeração de Fraquezas

CWE-79

CWE-94

Identificadores relacionados

CVE-2025-2490

Produtos afetados

Dromara Ujcms

Referências · 10

• 🔥 https://github.com/dromara/ujcms/issues/13 · Exploit
• https://github.com/dromara/ujcms/issues/12 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-2490 · Aviso do Fabricante
• https://vuldb.com/?id.299996 · Nota
• https://twitter.com/CVEnew/status/1902005978922455432 · Publicação no Twitter
• https://vuldb.com/?submit.517267 · Nota
• https://twitter.com/WolfgangSesin/status/1901934851269267783 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-2490 · Nota de Segurança
• https://t.me/cveNotify/141972 · Publicação no Telegram
• https://vuldb.com/?ctiid.299996 · Nota