PT-2025-3785 · Unknown · Campcodes Project Management System

John Correche · Publicado 2025-01-04 · Atualizado 2025-01-10 · CVE-2025-0213

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Campcodes Project Management System versão 1.0

Descrição Foi identificada uma falha crítica no código do arquivo /forms/update forms.php?action=change pic2&id=4, permitindo upload irrestrito devido à manipulação do argumento file. O ataque pode ser iniciado remotamente e o exploit foi divulgado publicamente.

Recomendações Para o Campcodes Project Management System versão 1.0, como medida temporária, considere desabilitar o arquivo /forms/update forms.php até que uma correção esteja disponível. Restrinja o acesso aos parâmetros action e id no endpoint da API afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-0213

Produtos afetados

Campcodes Project Management System

Referências · 12

• 🔥 https://github.com/shaturo1337/POCs/blob/main/Remote%20Code%20Execution%20via%20Arbitrary%20File%20Upload%20in%20Project%20Management%20System.md · Exploit
• https://twitter.com/CVEnew/status/1875585564205879417 · Publicação no Twitter
• https://vuldb.com/?id.290158 · Nota
• https://vuldb.com/?submit.474200 · Nota
• https://twitter.com/VulmonFeeds/status/1875601822150258697 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-0213 · Aviso do Fabricante
• https://t.me/cvenotify/106328 · Publicação no Telegram
• https://t.me/cvedetector/14290 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-0213 · Nota de Segurança
• https://campcodes.com · Nota
• https://vuldb.com/?ctiid.290158 · Nota
• https://t.me/thedarkwebinformer/10053 · Publicação no Telegram