PT-2025-12571 · Unknown · Digiwin Erp

Xu Nie · Publicado 2025-03-24 · Atualizado 2025-03-24 · CVE-2025-2705

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Digiwin ERP versão 5.1

Descrição Foi descoberto um problema crítico que afeta a função DoUpload/DoWebUpload do arquivo /Api/FileUploadApi.ashx. A manipulação do argumento File resulta em upload irrestrito. Este problema pode ser explorado remotamente.

Recomendações Para o Digiwin ERP versão 5.1, como solução temporária, considere restringir o acesso ao endpoint /Api/FileUploadApi.ashx ou desativar a função DoUpload/DoWebUpload até que um patch esteja disponível. Evite usar o argumento File no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-2705

Produtos afetados

Digiwin Erp

Referências · 10

• 🔥 https://github.com/Rain1er/report/blob/main/THNlcnBf/RCE_4.md · Exploit
• https://github.com/Rain1er/report/blob/main/THNlcnBf/RCE_3.md · Nota
• https://t.me/cvetracker/19776 · Publicação no Telegram
• https://twitter.com/WolfgangSesin/status/1904135674716155958 · Publicação no Twitter
• https://vuldb.com/?id.300726 · Nota
• https://vuldb.com/?ctiid.300726 · Nota
• https://t.me/cvedetector/20973 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-2705 · Nota de Segurança
• https://twitter.com/CVEnew/status/1904213469400125873 · Publicação no Twitter
• https://vuldb.com/?submit.516291 · Nota