PT-2025-15043 · Unknown · Qinguoyi Tinywebserver

S0L42 · Publicado 2025-04-04 · Atualizado 2025-04-07 · CVE-2025-3267

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas qinguoyi TinyWebServer versão 1.0

Descrição Um problema crítico foi identificado no software, afetando o arquivo /http/http conn.cpp. A manipulação dos argumentos name e password resulta em injeção de SQL. Este problema pode ser explorado remotamente.

Recomendações Para o qinguoyi TinyWebServer versão 1.0, como medida temporária, considere restringir o acesso ao arquivo /http/http conn.cpp até que um patch esteja disponível. Evite utilizar os argumentos name e password nos endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2025-3267

Produtos afetados

Qinguoyi Tinywebserver

Referências · 14

• 🔥 https://magnificent-dill-351.notion.site/SQL-Injection-in-TinyWebServer-1-0-1c9c693918ed800ba172f55997565735 · Exploit
• https://twitter.com/VulmonFeeds/status/1908321708072710484 · Publicação no Twitter
• https://twitter.com/WolfgangSesin/status/1908154394463383721 · Publicação no Twitter
• https://vuldb.com/?id.303339 · Nota
• https://vuldb.com/?ctiid.303339 · Nota
• https://vuldb.com/?submit.549228 · Nota
• https://twitter.com/cybercronai/status/1908633368943620582 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-3267 · Aviso do Fabricante
• https://twitter.com/CVETracker/status/1908610780959810035 · Publicação no Twitter
• https://twitter.com/dailycve/status/1909335372620087312 · Publicação no Twitter
• https://t.me/cvetracker/20873 · Publicação no Telegram
• https://t.me/cvedetector/22171 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1908286992796033269 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-3267 · Nota de Segurança