PT-2025-54229 · Unknown · Newbee-Mall-Plus

Zyhsec · Publicado 2025-12-30 · Atualizado 2025-12-30 · CVE-2025-15360

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas newbee-mall-plus versão 2.0.0

Descrição Existe uma falha no newbee-mall-plus versão 2.0.0 que permite upload de arquivos sem restrições. Este problema está localizado na função Upload do arquivo src/main/java/ltd/newbee/mall/controller/common/UploadController.java, afetando especificamente o componente da Página de Edição de Informações do Produto. A vulnerabilidade é acionada pela manipulação do argumento File, permitindo que atacantes remotos façam upload de arquivos sem restrições. Os detalhes deste problema foram divulgados publicamente. O fornecedor foi informado sobre esta divulgação, mas não forneceu uma resposta.

Recomendações Aplique uma correção à função Upload em src/main/java/ltd/newbee/mall/controller/common/UploadController.java para restringir tipos e tamanhos de upload de arquivos.

Exploit

Correção

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-15360

Produtos afetados

Newbee-Mall-Plus

Referências · 7

• 🔥 https://github.com/zyhzheng500-maker/cve/blob/main/%E4%BB%BB%E6%84%8F%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0.md · Exploit
• https://vuldb.com/?submit.716785 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-15360 · Nota de Segurança
• https://vuldb.com/?ctiid.338744 · Nota
• https://twitter.com/CVEnew/status/2006132891864965148 · Publicação no Twitter
• https://vuldb.com/?id.338744 · Nota
• https://osv.dev/vulnerability/CVE-2025-15360 · Aviso do Fabricante