Een ernstige kwetsbaarheid, CVE-2025-9400, is ontdekt in de YiFang CMS versies tot en met 2.0.5. Er is een kritieke veiligheidslek in de mergeMultipartUpload functie van het bestand app/utils/base/plugin/P_file.php. Hierdoor kan een aanvaller via een unrestricted upload op afstand misbruik maken van dit systeem. Dit vormt een aanzienlijke bedreiging voor de integriteit van uw gegevens, aangezien ongeautoriseerde bestanden kunnen worden geüpload zonder dat u het merkt.
Overzicht
Door manipulatie van het argument File kan een aanvaller onbeperkt bestanden uploaden. Dit is mogelijk zonder tussenkomst van de gebruiker en kan worden uitgevoerd met lage privileges. De zwakte wordt verder verergerd door inadequate toegangscontrole (CWE-284) en het openbare exploit dat beschikbaar is.
Metrics
- CVSSv4.0: Basisscore 5.3 (Medium), Vectorstring:
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P - CVSSv3.1: Basisscore 6.3 (Medium), Vectorstring:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R - CVSSv2.0: Basisscore 6.5, Vectorstring:
AV:N/AC:L/Au:S/C:P/I:P/A:P/E:POC/RL:ND/RC:UR
Aanbevelingen
Controleer of uw systemen gebruikmaken van een kwetsbare versie van YiFang CMS (2.0.0 tot 2.0.5) en overweeg indien mogelijk onmiddellijk verbeterde toegangscontroles te implementeren. Verminder de risico’s door alleen essentiële gebruikers toegang tot het uploadmechanisme te geven.
Bronnen
- VDB-321236 | YiFang CMS P_file.php mergeMultipartUpload unrestricted upload
- VDB-321236 | CTI Indicators
- Submit #632535 | YiFang CMS 2.0.5 Unrestricted Upload
- Public exploit beschikbaar op GitHub
Vraag en Antwoord
Wat is CVE-2025-9400?
CVE-2025-9400 is een beveiligingslek in YiFang CMS dat het mogelijk maakt voor kwaadwillenden om onbeperkt bestanden te uploaden via de functie mergeMultipartUpload.
Welke systemen zijn kwetsbaar voor CVE-2025-9400?
De versies 2.0.0 t/m 2.0.5 van YiFang CMS zijn beïnvloed door deze kwetsbaarheid.
Bestaat er al een patch of beveiligingsupdate?
Op dit moment is er geen reactie of update van de verkoper, en er is geen officiele patch beschikbaar.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan zonder toestemming bestanden uploaden naar het systeem, wat kan leiden tot dataverlies of zelfs volledige systeemcompromittering.
