PT-2025-20660 · Unknown · Kkfileview

S0L42 · Publicado 2025-05-11 · Atualizado 2025-06-16 · CVE-2025-4538

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas kkFileView versão 4.4.0

Descrição Um problema crítico afeta uma parte desconhecida do arquivo /fileUpload. A manipulação do argumento File resulta em upload sem restrições. É possível iniciar o ataque remotamente. O exploit foi divulgado ao público e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de forma alguma.

Recomendações Para a versão 4.4.0 do kkFileView, como solução temporária, considere desabilitar a funcionalidade de upload de arquivos até que um patch esteja disponível. Restrinja o acesso ao endpoint /fileUpload para minimizar o risco de exploração. Evite usar o argumento File na funcionalidade de upload de arquivos afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-4538

Produtos afetados

Kkfileview

Referências · 11

• 🔥 https://magnificent-dill-351.notion.site/Arbitrary-File-Upload-in-kkFileView-4-4-0-1e3c693918ed802581faccab9140a130 · Exploit
• https://twitter.com/dailycve/status/1934725764165034254 · Publicação no Twitter
• https://vuldb.com/?ctiid.308283 · Nota
• https://t.me/cvenotify/121672 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1921518232646693167 · Publicação no Twitter
• https://vuldb.com/?submit.566596 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-4538 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-4538 · Aviso do Fabricante
• https://vuldb.com/?id.308283 · Nota
• https://t.me/cvetracker/23579 · Publicação no Telegram
• https://t.me/cvedetector/25046 · Publicação no Telegram