CVE-2025-12097

विवरण

Appweb सर्वर का NI संशोधन एक डायरेक्टरी ट्रैवर्सल भेद्यता (directory traversal vulnerability) रखता है जो एक हमलावर को सर्वर पर मनमानी फाइलें पढ़ने की अनुमति देता है।

URI पथ /.%252e/.%252e/.%252e/.%252e/.%252e/.%252e/windows/win.ini निम्न में परिवर्तित हो जाएगा:

pathInfo cchar * "/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/windows/win.ini” 0x000000010076f808 जो एक वैध URI है और appweb इस अनुरोध को ब्लॉक नहीं करता है। इसे फिर कस्टम हैंडलर को पारित किया जाता है जो इस मामले में किसी भी अनुरोधित फाइल की सामग्री लौटाता है।

प्रभावित सॉफ्टवेयर की प्रकृति के कारण, प्रभावित डिवाइस केवल Microsoft Windows सिस्टम हैं।

देखा गया सबसे अधिक भेद्य संस्करण: 12.0.0.

भेद्य डिवाइसों की पहचान

प्रभावित डिवाइसों की पहचान निम्नलिखित विशेषताओं द्वारा की जा सकती है:

हमेशा मौजूद नहीं होता, लेकिन अधिकांश मामलों में सेवा पोर्ट 3580 पर चलती है, अन्य पोर्ट में 8080 और 80 शामिल हो सकते हैं।

/ के लिए सर्वर प्रतिक्रिया

HTTP/1.1 404 Not Found
Server: Mbedthis-Appweb/2.5.0
Date: Thu, 11 Dec 2025 18:23:26 GMT
Connection: keep-alive
Keep-Alive: timeout=60000, max=100
Content-Type: text/html
Content-length: 126

<HTML><HEAD><TITLE>Document Error: Not Found</TITLE></HEAD>
<BODY><H2>Access Error: 404 -- Not Found</H2>
</BODY></HTML>

PoC-CVE-2025-12097

सबसे लोकप्रिय

PoC