PT-2025-24659 · Unknown · Airleader Easy+1
Angel Lomeli
+1
·
Publicado
2025-06-10
·
Atualizado
2025-10-16
·
CVE-2025-46612
CVSS v3.1
7.2
Alta
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Airleader Master e Easy anteriores à 6.36
Descrição
O problema permite que atacantes remotos executem comandos arbitrários por meio de um upload de arquivos sem restrições no painel do Panel Designer. Isso pode ser explorado ao fazer login no console de administrador, que possui credenciais padrão fracas e facilmente previsíveis, e então enviar um arquivo JSP via painel. O endpoint
wizard/workspace.jsp é especificamente vulnerável a este tipo de ataque, permitindo o upload de arquivos maliciosos.Recomendações
Para versões anteriores à 6.36, atualize para a versão 6.36 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao console de administrador e alterar as credenciais padrão para senhas mais fortes e exclusivas. Além disso, restrinja a capacidade de upload de arquivos via painel do Panel Designer para minimizar o risco de exploração.
Exploit
Correção
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Airleader Easy
Airleader Master