PT-2025-27270 · Marvell · Marvell Qconvergeconsole

Andrea Micalizzi + 1 · Publicado 2025-06-27 · Atualizado 2025-07-07 · CVE-2025-6802

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Marvell QConvergeConsole (versões afetadas não especificadas)

Descrição: Este problema permite que atacantes remotos executem código arbitrário em instalações afetadas do Marvell QConvergeConsole. A falha específica existe na implementação do método getFileFromURL, que carece de validação adequada dos dados fornecidos pelo usuário. Isso permite o upload de arquivos arbitrários, permitindo que um atacante execute código no contexto de SYSTEM. Não é necessária autenticação para explorar este problema.

Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, considere desabilitar o método getFileFromURL até que uma correção esteja disponível. Restrinja o acesso ao método getFileFromURL para minimizar o risco de exploração. Evite usar o método getFileFromURL em instalações afetadas até que o problema seja resolvido.

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-6802

ZDI-25-464

Produtos afetados

Marvell Qconvergeconsole

Referências · 8

• https://zerodayinitiative.com/advisories/ZDI-25-464 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1942240044007231632 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-6802 · Nota de Segurança
• https://twitter.com/cybercronai/status/1942283176782496202 · Publicação no Twitter
• https://twitter.com/TheZDIBugs/status/1940854534495932774 · Publicação no Twitter
• https://twitter.com/autumn_good_35/status/1939696172425457884 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1942241218034823518 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-6802 · Aviso do Fabricante