PT-2025-16203 · Unknown · Lingxing Erp

207556249 · Publicado 2025-04-14 · Atualizado 2025-04-25 · CVE-2025-3551

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas: Lingxing ERP versão 2

Descrição: Um problema crítico foi encontrado na função DoUpload do arquivo /Api/FileUpload.ashx?method=DoUpload. A manipulação do argumento File resulta em upload irrestrito. Esta vulnerabilidade pode ser explorada remotamente.

Recomendações: Para o Lingxing ERP versão 2, como medida de contorno temporária, considere desativar a função DoUpload do endpoint /Api/FileUpload.ashx?method=DoUpload até que um patch esteja disponível. Restrinja o acesso ao endpoint /Api/FileUpload.ashx?method=DoUpload para minimizar o risco de exploração. Evite usar o argumento File no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-3551

Produtos afetados

Lingxing Erp

Referências · 16

• 🔥 https://github.com/666lail/report/blob/main/tmp/fileUpload_1.md · Exploit
• https://t.me/cvenotify/119014 · Publicação no Telegram
• https://vuldb.com/?id.304592 · Nota
• https://twitter.com/vulns_space/status/1911659863064600687 · Publicação no Twitter
• https://twitter.com/cracbot/status/1912823453486661687 · Publicação no Twitter
• https://twitter.com/WolfgangSesin/status/1911604486117773334 · Publicação no Twitter
• https://twitter.com/cracbot/status/1913548226197688381 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/2135 · Publicação no Telegram
• https://vuldb.com/?ctiid.304592 · Nota
• https://t.me/cvedetector/22825 · Publicação no Telegram
• https://vuldb.com/?submit.547878 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-3551 · Nota de Segurança
• https://twitter.com/CVEnew/status/1911641567082799325 · Publicação no Twitter
• https://t.me/cvetracker/21498 · Publicação no Telegram
• https://github.com/666lail/report · Nota