PT-2025-22793 · Shopxo · Shopxo

Qianyi · Publicado 2025-05-23 · Atualizado 2025-07-02 · CVE-2025-5108

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ShopXO versão 6.5.0

Descrição Um problema crítico afeta a função de Upload do arquivo app/admin/controller/Payment.php no componente de Manipulação de Arquivos ZIP. A manipulação do argumento params resulta em upload irrestrito. Esta vulnerabilidade pode ser explorada remotamente.

Recomendações Para a versão 6.5.0, como medida temporária, considere desativar a função de Upload no controller Payment até que uma correção esteja disponível. Restrinja o acesso ao arquivo app/admin/controller/Payment.php para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-5108

Produtos afetados

Shopxo

Referências · 10

• 🔥 https://github.com/147536951/Qiany1/blob/main/shopxo6.5.pdf · Exploit
• https://t.me/cvenotify/127329 · Publicação no Telegram
• https://vuldb.com/?submit.569827 · Nota
• https://twitter.com/dailycve/status/1940233317103935915 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-5108 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-5108 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1926244490919997863 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1925911174383587831 · Publicação no Twitter
• https://vuldb.com/?id.310085 · Nota
• https://vuldb.com/?ctiid.310085 · Nota