PT-2025-14780 · Projeqtor · Projeqtor

Deadmilkman

·

Publicado

2025-04-03

·

Atualizado

2025-05-14

·

CVE-2025-3169

CVSS v2.0

4.6

Média

VetorAV:N/AC:H/Au:S/C:P/I:P/A:P
Nome do Software Vulnerável e Versões Afetadas Versões do Projeqtor até 12.0.2
Descrição Um problema crítico afeta uma funcionalidade desconhecida do arquivo /tool/saveAttachment.php, onde a manipulação do argumento attachmentFiles resulta em upload sem restrições. O ataque pode ser realizado remotamente, mas a complexidade é relativamente alta e a exploração é conhecida por ser difícil. O fornecedor observa que este problema só pode ser explorado em instâncias não instaladas de forma segura, pois o diretório de anexos deve estar fora do alcance da web.
Recomendações Para as versões do Projeqtor até 12.0.2, atualize para a versão 12.0.3 para corrigir este problema. Como medida temporária, considere restringir o acesso ao arquivo /tool/saveAttachment.php para minimizar o risco de exploração. Garanta que o diretório de anexos esteja fora do alcance da web, conforme aconselhado durante a instalação do produto, para impedir que arquivos executáveis sejam executados através da web.

Exploit

Correção

RCE

Improper Access Control

Unrestricted File Upload

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2025-3169

Produtos afetados

Projeqtor