PT-2025-14780 · Projeqtor · Projeqtor
Deadmilkman
·
Publicado
2025-04-03
·
Atualizado
2025-05-14
·
CVE-2025-3169
CVSS v2.0
4.6
Média
| Vetor | AV:N/AC:H/Au:S/C:P/I:P/A:P |
Nome do Software Vulnerável e Versões Afetadas
Versões do Projeqtor até 12.0.2
Descrição
Um problema crítico afeta uma funcionalidade desconhecida do arquivo /tool/saveAttachment.php, onde a manipulação do argumento
attachmentFiles resulta em upload sem restrições. O ataque pode ser realizado remotamente, mas a complexidade é relativamente alta e a exploração é conhecida por ser difícil. O fornecedor observa que este problema só pode ser explorado em instâncias não instaladas de forma segura, pois o diretório de anexos deve estar fora do alcance da web.Recomendações
Para as versões do Projeqtor até 12.0.2, atualize para a versão 12.0.3 para corrigir este problema. Como medida temporária, considere restringir o acesso ao arquivo /tool/saveAttachment.php para minimizar o risco de exploração. Garanta que o diretório de anexos esteja fora do alcance da web, conforme aconselhado durante a instalação do produto, para impedir que arquivos executáveis sejam executados através da web.
Exploit
Correção
RCE
Improper Access Control
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Projeqtor