PT-2025-47298 · Winplus · Winplus

CVE-2025-41348 · Publicado 2025-11-18 · Atualizado 2025-11-18

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas WinPlus versão 24.11.27

Descrição Existe uma vulnerabilidade de Injeção de SQL na versão 24.11.27 do WinPlus. Isso permite que um atacante recupere, crie, atualize e exclua bancos de dados. O problema é acionado ao enviar uma requisição POST para o endpoint ''/WinplusPortal/ws/sWinplus.svc/json/getacumper post'', utilizando os parâmetros val1 e cont.

Recomendações Aplique uma correção para a versão 24.11.27 do WinPlus para resolver a vulnerabilidade de Injeção de SQL. Como solução temporária, restrinja o acesso ao endpoint ''/WinplusPortal/ws/sWinplus.svc/json/getacumper post''. Sanitize os parâmetros val1 e cont antes de processá-los na função getacumper post.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-41348

Produtos afetados

Winplus

Referências · 6

• https://twitter.com/CVEnew/status/1990747508088131740 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-41348 · Nota de Segurança
• https://t.me/CVEtracker/37612 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-41348 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1990797688732840086 · Publicação no Twitter
• https://incibe.es/en/incibe-cert/notices/aviso/stored-cross-site-scripting-xss-winplus-informatica-del-este · Correção