PT-2025-43933 · Zytec Dalian Zhuoyun Technology · Zytec Dalian Zhuoyun Technology Central Authentication Service
Badkitty
·
Publicado
2025-10-27
·
Atualizado
2025-10-27
·
CVE-2025-12266
CVSS v2.0
6.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:P |
Nome do Software Vulnerável e Versões Afetadas
Zytec Dalian Zhuoyun Technology Central Authentication Service versões anteriores à 20251010
Descrição
Existe uma vulnerabilidade de injeção de código no Serviço de Autenticação Central. O problema está localizado na função
empty do arquivo /index.php/auth/widget. A manipulação dos argumentos get.layer, get.widget e get.action pode levar à injeção de código. O exploit está disponível publicamente e o fornecedor foi notificado, mas não respondeu.Recomendações
Versões anteriores à 20251010 devem ser atualizadas. Como medida temporária, restrinja o acesso ao arquivo
/index.php/auth/widget. Evite utilizar os parâmetros get.layer, get.widget e get.action no endpoint da API afetado até que o problema seja resolvido.Exploit
Correção
Special Elements Injection
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Zytec Dalian Zhuoyun Technology Central Authentication Service