PT-2025-32456 · Unknown · Qiyuesuo Eelectronic Signature Platform

Nn0Nkey · Publicado 2025-08-09 · Atualizado 2025-09-16 · CVE-2025-8775

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Plataforma de Assinatura Eletrônica Qiyuesuo versões até a 4.34

Descrição: Existe uma vulnerabilidade crítica na Plataforma de Assinatura Eletrônica Qiyuesuo, permitindo potencialmente o upload de arquivos sem restrições. A função execute dentro do arquivo /api/code/upload do componente Manipulador de Tarefas Agendadas é afetada. A manipulação do argumento File pode levar à exploração. O exploit foi divulgado publicamente.

Recomendações: Versões anteriores à 4.34: Como medida temporária, considere restringir o acesso ao endpoint /api/code/upload até que um patch esteja disponível. Versões anteriores à 4.34: Evite fazer upload de arquivos não confiáveis através do endpoint afetado.

Exploit

Correção

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-8775

Produtos afetados

Qiyuesuo Eelectronic Signature Platform

Referências · 12

• 🔥 https://github.com/nn0nkey/nn0nkey/blob/main/QYS/QYS_task.md · Exploit
• https://t.me/cveNotify/135559 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-8775 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-8775 · Nota de Segurança
• https://vuldb.com/?id.319298 · Nota
• https://vuldb.com/?submit.625553 · Nota
• https://vuldb.com/?submit.625551 · Nota
• https://t.me/cveNotify/131848 · Publicação no Telegram
• https://t.me/CVEtracker/29598 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1954294733007966526 · Publicação no Twitter
• https://t.me/cveNotify/131567 · Publicação no Telegram
• https://vuldb.com/?ctiid.319298 · Nota