PT-2026-36126 · Fanwei · Weaver E-Office

Publicado 2026-04-30 · Atualizado 2026-04-30 · CVE-2022-50993

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Weaver (Fanwei) E-office versões anteriores a 10.0 20221201

Descrição Um problema de upload arbitrário de arquivos não autenticado existe no endpoint 'OfficeServer.php'. Atacantes remotos podem carregar arquivos maliciosos, como webshells PHP, para o diretório Document enviando requisições POST multipart com nomes de arquivos arbitrários e tipos de conteúdo disfarçados. Esses arquivos podem então ser executados via requisições HTTP GET para alcançar a execução remota de código como o usuário do servidor web. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 10-10-2022 (UTC).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-50993

Produtos afetados

Weaver E-Office

Referências · 9

• 🔥 https://cn-sec.com/archives/1453025.html · Exploit
• 🔥 https://bbs.chaitin.cn/topic/37 · Exploit
• https://twitter.com/KaitanSecurity/status/2049904130789945756 · Publicação no Twitter
• https://t.me/CVEtracker/52328 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2049913880193667480 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2049914428536099141 · Publicação no Twitter
• https://vulncheck.com/advisories/weaver-e-office-10-0-20221201-unauthenticated-arbitrary-file-read-via-xmlrpcservlet · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-50993 · Nota de Segurança
• https://service.e-office.cn/knowledge/detail/5 · Correção