PT-2025-30318 · Unknown · Eveo Urve Web Manager

Stefan Krause · Publicado 2025-07-21 · Atualizado 2025-09-12 · CVE-2025-36846

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Eveo URVE Web Manager versão 27.02.2025

Descrição A aplicação expõe o endpoint / internal/pc/vpro.php para usuários não autenticados, que é vulnerável a Injeção de Comandos do Sistema Operacional. O endpoint aceita um parâmetro de entrada que é passado diretamente para a função shell exec() do PHP.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-36846

Produtos afetados

Eveo Urve Web Manager

Referências · 8

• 🔥 https://syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2025-034.txt · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-36846 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-36846 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1947361905862959435 · Publicação no Twitter
• https://t.me/cveNotify/135317 · Publicação no Telegram
• https://smartoffice.expert/en · Nota
• https://t.me/cvenotify/129719 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1947376737056121264 · Publicação no Twitter